LFPDPPP 2025: lo que cambió y lo que te pueden multar

Un consultorio de nutrición en Cuautitlán Izcalli guarda expedientes de 1,200 pacientes en una hoja de cálculo compartida por WhatsApp entre la nutrióloga y su asistente. Peso, enfermedades, medicamentos, teléfono. La asistente renuncia en marzo y se lleva el archivo en su celular. En abril, varios pacientes reciben mensajes de otro consultorio ofreciéndoles “un plan para su diabetes”.

Ese consultorio tiene un problema de seguridad. Y desde el 21 de marzo de 2025, tiene un problema legal con una autoridad distinta y multas que se calculan en UMA.

Esto es lo que cambió con la nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), qué te pueden multar y qué tiene que hacer un negocio chico. Todo con fuente.

Qué pasó y cuándo

El 20 de diciembre de 2024 se publicó en el DOF la reforma constitucional que extinguió siete organismos autónomos, entre ellos el INAI, que era la autoridad de protección de datos en México.

El 20 de marzo de 2025 se publicó en el DOF una nueva LFPDPPP que abroga la ley de 2010. Entró en vigor al día siguiente, el 21 de marzo de 2025. No es una reforma: es una ley nueva, aunque conserva buena parte de la estructura anterior.

La autoridad que sustituye al INAI para los particulares (es decir, para tu negocio) es la Secretaría Anticorrupción y Buen Gobierno. Así lo define el artículo 2 de la ley, y los transitorios establecen que los procedimientos que estaban en trámite ante el INAI pasan a esa Secretaría.

Cambió quién te vigila, la unidad en la que te multan y algunas obligaciones. Lo que no cambió: si tratas datos de personas, eres responsable.

Las multas, en UMA y en pesos

La ley de 2010 calculaba sanciones en salarios mínimos. La de 2025 las calcula en UMA (Unidad de Medida y Actualización), que en 2026 vale 117.31 pesos diarios según el INEGI, vigente desde el 1 de febrero de 2026.

El artículo 59 establece los rangos:

• Apercibimiento (una advertencia formal) por no atender una solicitud de derechos ARCO sin razón.
• De 100 a 160,000 UMA por infracciones como omitir elementos del aviso de privacidad, tratar datos contra los principios de la ley o mantener datos inexactos. En pesos de 2026, eso va de 11,731 a 18.77 millones.
• De 200 a 320,000 UMA por infracciones más graves: incumplir la confidencialidad, transferir datos sin permiso, recabar datos de forma engañosa, obstruir una verificación, o una vulneración de seguridad imputable al responsable. En pesos de 2026, de 23,462 a 37.54 millones.
• En caso de reincidencia, una multa adicional de 100 a 320,000 UMA.
• Si los datos son sensibles (salud, biometría, creencias, orientación), las multas pueden duplicarse.

Los montos en pesos son cálculo propio a partir del valor de la UMA 2026; la ley fija los rangos en UMA. Y ojo con el último punto: el consultorio del inicio maneja datos de salud. Está en el rango duplicable.

Las obligaciones que un negocio chico suele ignorar

La ley tiene muchas obligaciones, pero hay cinco que, en los diagnósticos que hago, casi nunca encuentro cubiertas.

Aviso de privacidad. Tienes que tenerlo, y debe identificar qué datos sensibles recabas y para qué. Si recabas datos por medios electrónicos (un formulario web, un WhatsApp), basta un aviso simplificado que diga dónde consultar el completo. Omitir elementos del aviso es infracción del artículo 58.

Medidas de seguridad. El artículo 18 te obliga a tener medidas administrativas, técnicas y físicas para proteger los datos, y no pueden ser menores a las que usas para tu propia información. Una hoja de cálculo que viaja por WhatsApp no cumple con ninguna de las tres.

Notificación de vulneraciones. El artículo 19 dice que si hay una vulneración que afecte de forma significativa los derechos de los titulares, tienes que informarles de inmediato. No a la autoridad primero: a las personas.

Confidencialidad de terceros. El artículo 20 te obliga a que cualquiera que toque los datos (empleados, contador, agencia de marketing, el que te hace el sistema) guarde confidencialidad, y esa obligación sigue después de que termina la relación. La asistente que se llevó el archivo entra aquí.

Derechos ARCO. Acceso, rectificación, cancelación y oposición. Si un cliente te pide ver, corregir o borrar sus datos, tienes que atenderlo. Actuar con negligencia o dolo al tramitar esa solicitud ahora es infracción explícita.

Lo que es nuevo de verdad

Los despachos que analizaron la ley señalan tres novedades: oponerse a decisiones automatizadas que afecten de manera significativa a una persona (perfilamiento sin intervención humana), esquemas de autorregulación vinculantes, y el cambio de vía de defensa: en lugar del juicio de nulidad, ahora es el amparo.

Lo de decisiones automatizadas importa si usas IA para calificar clientes, aprobar créditos o filtrar candidatos. Si tu agente decide solo y afecta a alguien, esa persona puede oponerse. Por eso en AgileNext los agentes tienen una persona detrás.

Lo que esto significa para tu negocio

No te voy a decir que mañana llega un inspector. Lo que sí: ya no hay un instituto autónomo con años de criterios públicos, sino una Secretaría del Ejecutivo con facultades nuevas, y nadie sabe todavía cómo las va a ejercer. Esa incertidumbre es un riesgo.

Y algo más práctico. La ley te obliga a tener medidas de seguridad. Si te roban los datos y no las tenías, el robo es infracción además de pérdida. Cumplir con la ley y protegerte de un ataque son la misma lista de tareas.

Qué puedes hacer esta semana

1. Revisa si tienes aviso de privacidad y si dice qué datos sensibles manejas. Si no lo tienes, redacta uno sencillo. Si lo tienes de 2015, actualízalo.
2. Haz un inventario de dónde viven los datos de tus clientes: hojas de cálculo, WhatsApp, sistema, papel. Lo que no sabes que tienes, no lo puedes proteger.
3. Saca los datos de clientes de los chats de WhatsApp y de los celulares personales. Ponlos en un solo lugar con acceso controlado.
4. Firma un acuerdo de confidencialidad con quien toca datos: empleados, contador, agencias. Que diga que sigue vigente al terminar la relación.
5. Define quién atiende si un cliente pide ver o borrar sus datos, y en cuántos días.

Cómo ayuda AgileNext

Blindaje Empresarial incluye el cumplimiento de privacidad dentro de la seguridad de la información: inventario de datos, medidas administrativas, técnicas y físicas documentadas, control de accesos, acuerdos de confidencialidad con terceros y un procedimiento para vulneraciones. Un sprint de 45 días alineado a ISO 27001 sin obligarte a certificarte, con validación independiente de aliados especializados. Protección que puedes demostrar a clientes, socios y, si llega, a la autoridad.

Haz el autodiagnóstico de seguridad sin costo y revisa qué tan lejos estás de cumplir.

Te puede interesar: Qué datos le das a un agente de IA (y cuáles nunca) · El fraude del “cambio de cuenta CLABE”: así te lo hacen