La ley de datos personales de 2025: qué cambió y qué debe actualizar su empresa

01Qué cambia para su empresa

Una nueva auto­ri­dad. El INAI se extin­guió con la entrada en vigor de la nueva legis­la­ción, el 21 de marzo de 2025. La auto­ri­dad en mate­ria de datos per­so­na­les del sector pri­vado es hoy la Secre­ta­ría Anti­co­rrup­ción y Buen Gobierno (artículo 2o., frac­ción XV, de la ley). Sus atri­bu­cio­nes inclu­yen vigi­lar y veri­fi­car el cum­pli­miento, resol­ver los pro­ce­di­mien­tos de pro­tec­ción de dere­chos e impo­ner san­cio­nes (artículo 39). Contra sus reso­lu­cio­nes, los par­ti­cu­la­res acuden al juicio de amparo (artículo 51); ya no pro­cede un recurso ante un órgano autó­nomo.

Una nueva nume­ra­ción. Los debe­res de fondo se pare­cen a los de 2010, pero cam­bia­ron de lugar. El con­te­nido del aviso de pri­va­ci­dad está hoy en el artículo 15; la puesta a dis­po­si­ción, en el 16; la segu­ri­dad, en el 18; el aviso de vul­ne­ra­cio­nes al titu­lar, en el 19; los dere­chos de acceso, rec­ti­fi­ca­ción, can­ce­la­ción y opo­si­ción, en los artícu­los 21 a 26; la per­sona o depar­ta­mento de datos per­so­na­les, en el 29; los plazos de res­puesta, en el 31; las infrac­cio­nes, en el 58; y las san­cio­nes, en el 59. Un aviso que fun­da­menta sus fina­li­da­des en el "artículo 16 de la ley" está citando hoy la regla sobre la forma de entre­gar el aviso, no su con­te­nido.

Un dere­cho nuevo frente a deci­sio­nes auto­ma­ti­za­das. El titu­lar puede opo­nerse al tra­ta­miento cuando sus datos sean objeto de un tra­ta­miento auto­ma­ti­zado que le pro­duzca efec­tos no desea­dos o afecte de manera sig­ni­fi­ca­tiva sus inte­re­ses, dere­chos o liber­ta­des, y esté des­ti­nado a eva­luar sin inter­ven­ción humana aspec­tos como su ren­di­miento pro­fe­sio­nal, situa­ción eco­nó­mica, estado de salud, fia­bi­li­dad o com­por­ta­miento (artículo 26, frac­ción II). Es la pri­mera vez que la ley mexi­cana aborda de forma expresa los mode­los de cali­fi­ca­ción y per­fi­la­miento.

San­cio­nes en Uni­da­des de Medida y Actua­li­za­ción. La ley de 2010 expre­saba las multas en días de sala­rio mínimo; la de 2025 las expresa en Uni­da­des de Medida y Actua­li­za­ción, cuyo valor diario en 2026 es de 117.31 pesos (ciento die­ci­siete pesos con treinta y un cen­ta­vos), según el INEGI (artículo 59).

Lo que no cambió. Contra lo que suele repe­tirse, la ley no fija un plazo de 72 horas para avisar de una vul­ne­ra­ción: el están­dar es infor­mar al titu­lar de forma inme­diata (artículo 19), y no hay deber de noti­fi­car a la auto­ri­dad. Tam­poco obliga a los par­ti­cu­la­res a rea­li­zar eva­lua­cio­nes de impacto a la pri­va­ci­dad ni con­sa­gra la pri­va­ci­dad desde el diseño como prin­ci­pio. Ambas son mejo­res prác­ti­cas que ayudan a acre­di­tar el prin­ci­pio de res­pon­sa­bi­li­dad (artícu­los 5o. y 13), pero la ley no las exige.

El Regla­mento, un punto en dis­cu­sión. El Regla­mento de la ley, publi­cado en 2011 bajo la ley ante­rior, sigue apa­re­ciendo como vigente en la com­pi­la­ción de la Cámara de Dipu­ta­dos y la ley nueva remite a él en varios pro­ce­di­mien­tos. Sin embargo, el decreto de 2025 no con­firmó expre­sa­mente su vigen­cia y algu­nas de sus remi­sio­nes apun­tan a artícu­los que hoy tienen otro con­te­nido. Por eso con­viene fun­da­men­tar los docu­men­tos de la empresa pri­mero en la ley y, de forma com­ple­men­ta­ria, en el Regla­mento.