La nueva ley de protección de datos personales cambió sobre todo quién te defiende: el INAI desapareció y ahora la autoridad es la Secretaría Anticorrupción y Buen Gobierno.
La Ley Federal de Protección de Datos Personales en Posesión de los Particulares se publicó en el Diario Oficial de la Federación el 20 de marzo de 2025 y entró en vigor al día siguiente. Sustituyó a la ley de 2010, que quedó abrogada. Se aplica a empresas y personas privadas que tratan datos ajenos: bancos, fintech, tiendas en línea, aseguradoras, escuelas o un consultorio. Tus derechos básicos siguen ahí, pero hay cambios concretos en la autoridad, en el aviso de privacidad, en el derecho de oposición y en las multas.
Quién vigila ahora
Con la ley de 2010, el organismo garante era el Instituto (el IFAI, después INAI). La nueva ley define como autoridad a la Secretaría Anticorrupción y Buen Gobierno y le da las mismas tareas: vigilar el cumplimiento, interpretar la ley, resolver los procedimientos de protección de derechos y de verificación, y sancionar.
Los artículos transitorios ordenan que el personal, los sistemas y los expedientes del INAI pasen a esa Secretaría, y que los procedimientos de datos personales iniciados ante el INAI se resuelvan ahí con las reglas vigentes cuando empezaron. Contra sus resoluciones procede el juicio de amparo ante jueces y tribunales especializados.
Qué cambió en el aviso de privacidad
El aviso de privacidad es el documento donde una empresa te dice qué hace con tus datos. La ley nueva amplía su contenido mínimo. Ahora debe indicar:
- la identidad y el domicilio del responsable;
- qué datos personales tratará, señalando cuáles son sensibles;
- las finalidades, distinguiendo las que requieren tu consentimiento;
- las opciones para limitar el uso o la divulgación;
- cómo ejercer tus derechos de acceso, rectificación, cancelación y oposición (derechos ARCO);
- cómo te avisará de cambios al aviso.
Cuando los datos se recaban por internet, una app u otro medio electrónico, la versión simplificada del aviso debe incluir los primeros cuatro puntos y decir dónde consultar el aviso completo. La ley de 2010 solo exigía, en ese momento, la identidad del responsable y las finalidades.
Consentimiento: qué sigue igual
La regla general se mantiene: basta el consentimiento tácito, es decir, si te ponen el aviso a disposición y no te opones. La nueva ley lo dice de forma expresa y define el consentimiento como una manifestación “libre, específica e informada”.
Hay dos excepciones que importan para tu dinero y tu salud:
- Datos financieros o patrimoniales: requieren consentimiento expreso, salvo los casos que la propia ley exceptúa, como una obligación legal o una relación contractual contigo.
- Datos sensibles (salud, información genética, origen étnico, creencias, opiniones políticas, preferencia sexual): requieren consentimiento expreso y por escrito, con firma autógrafa, firma electrónica u otro mecanismo de autenticación.
También sigue vigente que puedes revocar tu consentimiento en cualquier momento, sin efectos hacia atrás, por el mecanismo que indique el aviso.
Un derecho nuevo frente a las decisiones automatizadas
Es el cambio más relevante para quien usa servicios digitales. La ley de 2010 permitía oponerse al tratamiento “por causa legítima”. La nueva añade un supuesto específico: puedes oponerte cuando tus datos se usan en un tratamiento automatizado sin intervención humana que te produce efectos jurídicos no deseados o afecta de forma significativa tus intereses, y que sirve para evaluar o predecir aspectos como tu rendimiento profesional, tu situación económica, tu salud, tu fiabilidad o tu comportamiento.
En la práctica, alcanza decisiones como un rechazo de crédito o una evaluación de riesgo hechas solo por un sistema. El límite: no puedes oponerte si el tratamiento es necesario para que la empresa cumpla una obligación legal. Explicamos cómo encaja esta regla con la discusión de una ley de IA en ley de inteligencia artificial en México.
Plazos para ejercer tus derechos ARCO
Los plazos no cambiaron:
- Presentas tu solicitud ante la persona o el departamento de datos personales que toda empresa debe designar, con tu identificación y la descripción de lo que pides.
- La empresa tiene 20 días hábiles para responderte.
- Si la respuesta es favorable, debe cumplirla en los 15 días hábiles siguientes.
- Ambos plazos pueden ampliarse una sola vez por un periodo igual, si se justifica.
El trámite es gratuito; solo pueden cobrarte reproducción, copias o envío. Si la empresa no responde o no estás de acuerdo, tienes 15 días hábiles desde la respuesta para pedir a la Secretaría la protección de tus derechos, por escrito libre o con los formatos o el sistema electrónico que esta habilite. La Secretaría tiene hasta 50 días hábiles para resolver, ampliables una vez.
Multas y delitos
Las sanciones conservan sus rangos, pero ahora se calculan en Unidades de Medida y Actualización (UMA) y no en días de salario mínimo: de 100 a 160.000 UMA por faltas como omitir elementos del aviso de privacidad, y de 200 a 320.000 UMA por faltas como transferir datos sin permiso o recabarlos con engaños. Con datos sensibles, los montos pueden duplicarse. La ley mantiene penas de prisión de tres meses a tres años por vulnerar con ánimo de lucro una base de datos bajo custodia, y de seis meses a cinco años por tratar datos mediante engaño para obtener un lucro indebido.
Qué hacer con esta información
- Lee el aviso simplificado cuando abras una cuenta en una app: debe decirte qué datos pide y cuáles son sensibles.
- Si te negaron un crédito sin explicación, pregunta si la decisión fue automatizada y, si aplica, ejerce tu derecho de oposición por escrito.
- Desconfía de quien pida datos “para actualizar tu expediente” por teléfono: recabar datos con engaño es infracción y puede ser delito. Las señales de ese fraude están en fraude por llamada del banco.
Fuentes: Ley Federal de Protección de Datos Personales en Posesión de los Particulares, texto vigente (DOF 20-03-2025, última reforma DOF 14-11-2025), y ley abrogada de 2010, Cámara de Diputados, artículos 1, 2, 7 a 9, 15, 16, 26, 31, 34, 38 a 42, 59, 62 a 64 y transitorios. Consulta: 11 de octubre de 2026.
