10 de noviembre 2026
La nueva regulación mexicana en materia de pagos digitales y electrónicos (Diario Oficial de la Federación || Bienvenido al Sistema de Información del Diario Oficial de la Federación) en vigor a partir del 5 de noviembre pasado, busca fomentar una mayor adopción de estos medios de pago y avanzar en la digitalización de determinados procesos asociados con su contratación y operación. Para las empresas, esta evolución puede tener implicaciones relevantes desde la perspectiva de protección de datos personales, seguridad de la información y gestión de proveedores tecnológicos.
Aunque la regulación tiene como objeto principal los medios de pago, su implementación puede generar nuevos flujos de información personal, incrementar la dependencia de infraestructura tecnológica y ampliar la participación de terceros en procesos de identificación, autenticación y pagos. Por ello, resulta conveniente analizar estos cambios también bajo la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y los marcos internos de seguridad y gestión de riesgos de cada organización.
Protección de datos e identidad digital
Uno de los aspectos relevantes es la incorporación de mecanismos de identificación digital, incluyendo la CURP Digital y, en ciertos supuestos, la posibilidad de utilizar información disponible en el Expediente Digital Ciudadano para facilitar la contratación de servicios financieros.
Para las organizaciones que participen en estos procesos, la implementación de estos mecanismos puede implicar nuevas formas de obtención, consulta, intercambio o validación de datos personales.
En consecuencia, será importante identificar cómo se incorporan estos flujos de información al modelo de privacidad existente de la empresa y, según corresponda, revisar aspectos como:
- las finalidades del tratamiento y su reflejo en los avisos de privacidad;
- los datos efectivamente necesarios para los procesos de identificación o contratación;
- los accesos internos y los periodos de conservación;
- los intercambios de información con terceros; y
- las medidas de seguridad aplicables durante la consulta, transmisión y almacenamiento de la información.
Más que crear un régimen independiente de protección de datos, la digitalización prevista por la regulación puede hacer necesario revisar cómo se aplican las obligaciones existentes bajo la LFPDPPP a estos nuevos procesos y tecnologías.
Seguridad y continuidad de los servicios digitales
La regulación también otorga relevancia a la disponibilidad y continuidad de los medios de pago digitales y electrónicos, incluyendo la necesidad de atender contingencias que puedan afectar la infraestructura, los sistemas, los servicios o las operaciones correspondientes.
Desde una perspectiva empresarial, este aspecto refuerza la conveniencia de revisar si los sistemas involucrados en los pagos digitales están adecuadamente incorporados a los esquemas de seguridad de la información, continuidad del negocio, recuperación ante contingencias y respuesta a incidentes.
La evaluación debería considerar tanto la infraestructura propia como aquellas dependencias tecnológicas cuya interrupción pueda afectar la aceptación o procesamiento de pagos.
Asimismo, cuando un incidente de seguridad asociado con estos sistemas involucre datos personales, las empresas deberán analizar paralelamente las medidas y obligaciones que puedan resultar aplicables conforme a la legislación mexicana de protección de datos.
Gestión de proveedores tecnológicos
La creciente digitalización de pagos también hace particularmente relevante la gestión de terceros.
Procesadores de pagos, proveedores de servicios cloud, plataformas de autenticación, proveedores de identidad digital y otros prestadores tecnológicos pueden tener acceso a información personal o administrar componentes relevantes para la disponibilidad y seguridad de las operaciones.
Por ello, las empresas deberían considerar si sus procesos de vendor due diligence y contratación cubren adecuadamente, según corresponda:
- estándares y medidas de seguridad;
- tratamiento y acceso a datos personales;
- notificación y gestión de incidentes;
- continuidad y recuperación de los servicios;
- subcontratación y participación de terceros;
- conservación, devolución y eliminación de información; y
- responsabilidades frente a interrupciones o incidentes de seguridad.
Este análisis será especialmente relevante cuando la empresa dependa del proveedor para asegurar la continuidad y disponibilidad del medio de pago.
¿Qué deberían hacer las organizaciones?
La implementación práctica dependerá del modelo de negocio, del sector y de la forma en que cada organización utilice los medios de pago e identificación digital. No obstante, desde una perspectiva de privacidad y seguridad, recomendamos considerar las siguientes acciones:
- Mapear los nuevos flujos de datos asociados con pagos e identificación digital e identificar qué sistemas, proveedores y categorías de información intervienen.
- Revisar avisos de privacidad y procesos internos para confirmar que los nuevos tratamientos se encuentran adecuadamente contemplados bajo la LFPDPPP.
- Evaluar la seguridad y resiliencia de la infraestructura de pagos, incluyendo continuidad, recuperación y respuesta ante incidentes.
- Revisar proveedores tecnológicos y contratos relevantes, particularmente en materia de seguridad, tratamiento de datos, incidentes, continuidad y subcontratación.
- Monitorear la regulación secundaria y su implementación, ya que ésta podrá precisar el alcance práctico de determinados requisitos y los sectores o actividades a los que resulten aplicables.
Comentarios finales
Para las empresas, el principal impacto desde la perspectiva de privacidad y seguridad no necesariamente deriva de la creación de nuevas obligaciones autónomas en estas materias, sino de los nuevos procesos, flujos de información y dependencias tecnológicas que acompañarán una mayor digitalización de los pagos.
En este contexto, una aproximación preventiva puede permitir que los nuevos mecanismos se incorporen desde su diseño a los programas existentes de privacidad, seguridad, continuidad del negocio y gestión de terceros, reduciendo la necesidad de realizar ajustes posteriores.
Nuestra práctica de Tecnologías de la Información y Protección de Datos queda a su disposición para analizar las implicaciones que esta regulación pueda tener para su organización y brindar apoyo respecto de las medidas que, en su caso, resulten pertinentes desde una perspectiva de protección de datos, seguridad de la información y gestión de proveedores.
ATTENTION,
Adolfo Athie
Renata Bueron