REGULATORY UPDATE
Nueva LFPDPPP: qué cambió y qué deben revisar las organizaciones.
La reforma mantiene el modelo de principios y deberes, pero modifica la autoridad, conceptos, excepciones, avisos, tratamientos automatizados y vías de defensa.
El 20 de marzo de 2025 se publicó en el Diario Oficial de la Federación un paquete de reformas en materia de transparencia y protección de datos personales, dentro de la implementación de la reforma constitucional sobre simplificación orgánica.
El decreto expidió una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, vigente a partir del 21 de marzo de 2025, y sustituyó el marco federal anterior. Aunque conserva buena parte de su estructura sustantiva, introduce cambios que deben reflejarse en la gobernanza, documentación y operación de las organizaciones.
EL CAMBIO NORMATIVO
Siete modificaciones que requieren atención.
Nueva autoridad garante
Las facultades federales en materia de protección de datos personales en posesión de particulares se trasladan a la Secretaría Anticorrupción y Buen Gobierno.
Ajustes terminológicos
La ley incorpora modificaciones de lenguaje y referencias normativas que deben reflejarse en documentos, políticas y procesos internos.
Definición de titular
Se elimina la referencia expresa a personas físicas y se utiliza el término personas, modificación que exige atención interpretativa y seguimiento de criterios.
Excepciones al consentimiento
Se amplían los supuestos en los que el tratamiento puede realizarse sin consentimiento; su aplicación requiere documentar cuidadosamente la base jurídica.
Avisos de privacidad
Se revisan sus requisitos esenciales, por lo que las organizaciones deben contrastar sus avisos vigentes con el nuevo texto legal.
Tratamiento automatizado
Se reconoce expresamente el derecho de oposición frente a tratamientos automatizados, elevándolo a rango legal.
Vías de defensa
El nuevo esquema contempla órganos federales especializados y el juicio de amparo como vía de defensa en la materia.
LECTURA SALAZAR
La reforma debe traducirse en responsables y decisiones.
Actualizar la arquitectura documental.
Avisos de privacidad, contratos, cláusulas, políticas y mecanismos de atención deben revisarse contra la nueva ley.
Reasignar responsables y evidencias.
Conviene identificar propietarios de cada obligación, controles existentes y evidencia disponible para acreditar cumplimiento.
Mapear decisiones automatizadas.
Los tratamientos automatizados requieren visibilidad sobre datos utilizados, lógica operativa y mecanismos para atender oposición.
Priorizar por exposición.
La implementación debe concentrarse primero en procesos con mayor volumen, sensibilidad, automatización o impacto para titulares.
03 · AGENDA DE REVISIÓN
Qué conviene revisar ahora.
- Levantar un inventario de avisos de privacidad, finalidades, bases de tratamiento y canales de obtención de datos.
- Contrastar los avisos vigentes y procedimientos ARCO con los requisitos de la nueva ley.
- Identificar tratamientos automatizados y documentar cómo se atenderá una oposición.
- Asignar responsables, fechas y evidencia de implementación para cada brecha detectada.
- Dar seguimiento a disposiciones secundarias, criterios y precedentes de la nueva autoridad.