Ciudad de M\u00e9xico, a 21 de Marzo 2025<\/p>\n\n\n\n
El 20 de marzo del a\u00f1o en curso, se public\u00f3 en el Diario Oficial de la Federaci\u00f3n (DOF) la Nueva Ley Federal de Protecci\u00f3n de Datos Personales en Posesi\u00f3n de los Particulares (NLFPDPPP); y, entra en vigor al d\u00eda siguiente de su publicaci\u00f3n, es decir el 21 de marzo de 2025. Queda abrogada la Ley Federal de Protecci\u00f3n de Datos Personales en Posesi\u00f3n de los Particulares (LFPDPPP).<\/p>\n\n\n\n
Destacamos las principales modificaciones que la NLFPDPPP presenta con respecto a la LFPDPPP:<\/p>\n\n\n\n
Concepto<\/strong><\/td>| Antigua versi\u00f3n LFPDPPP<\/strong><\/td> | NLFPDPPP<\/strong><\/td><\/tr> | Aviso de Privacidad<\/td> | Documento f\u00edsico, electr\u00f3nico o en cualquier otro formato generado por el responsable que es puesto a disposici\u00f3n del titular, previo al tratamiento de sus datos personales, de conformidad con el art\u00edculo 15 de la presente Ley. <\/td> | Documento a disposici\u00f3n de la persona titular de la informaci\u00f3n de forma f\u00edsica, electr\u00f3nica o en cualquier otro formato generado por el responsable, a partir del momento en el cual se recaben sus datos personales, con el objeto de informarle los prop\u00f3sitos del tratamiento de los mismos, de conformidad con el art\u00edculo 14 de la presente Ley.<\/td><\/tr> | Bases de Datos <\/td> | El conjunto ordenado de datos personales referentes a una persona identificada o identificable. <\/td> | Conjunto ordenado de datos personales referentes a una persona identificada o identificable condicionados a criterios determinados, con independencia de la forma o modalidad de su creaci\u00f3n, tipo de soporte, procesamiento, almacenamiento y organizaci\u00f3n.<\/td><\/tr> | Consentimiento<\/td> | Manifestaci\u00f3n de la voluntad del titular de los datos mediante la cual se efect\u00faa el tratamiento de los mismos.<\/td> | Manifestaci\u00f3n de la voluntad libre, espec\u00edfica e informada de la persona titular de los datos mediante la cual se efect\u00faa el tratamiento de los mismos.<\/td><\/tr> | Datos personales<\/td> | Cualquier informaci\u00f3n concerniente a una persona f\u00edsica identificada o identificable.<\/td> | Cualquier informaci\u00f3n concerniente a una persona identificada o identificable. Se considera que una persona es identificable cuando su identidad pueda determinarse directa o indirectamente a trav\u00e9s de cualquier informaci\u00f3n.<\/td><\/tr> | Datos personales sensibles<\/td> | Aquellos datos personales que afecten a la esfera m\u00e1s \u00edntima de su titular, o cuya utilizaci\u00f3n indebida pueda dar origen a discriminaci\u00f3n o conlleve un riesgo grave para \u00e9ste. En particular, se consideran sensibles aquellos que puedan revelar aspectos como origen racial o \u00e9tnico, estado de salud presente y futuro, informaci\u00f3n gen\u00e9tica, creencias religiosas, filos\u00f3ficas y morales, afiliaci\u00f3n sindical, opiniones pol\u00edticas, preferencia sexual.<\/td> | Aquellos datos personales que afecten a la esfera m\u00e1s \u00edntima de la persona titular, o cuya utilizaci\u00f3n indebida pueda dar origen a discriminaci\u00f3n o conlleve un riesgo grave para esta. De manera enunciativa m\u00e1s no limitativa se consideran sensibles los datos personales que puedan revelar aspectos como origen racial o \u00e9tnico, estado de salud presente o futuro, informaci\u00f3n gen\u00e9tica, creencias religiosas, filos\u00f3ficas y morales, opiniones pol\u00edticas y preferencia sexual.<\/td><\/tr> | Derechos ARCO<\/td> | No hab\u00eda definici\u00f3n en la LFPDPPP.<\/td> | Derechos de acceso, rectificaci\u00f3n, cancelaci\u00f3n y oposici\u00f3n al tratamiento de datos personales.<\/td><\/tr> | Fuente de Acceso P\u00fablico<\/td> | Aquellas bases de datos cuya consulta puede ser realizada por cualquier persona, sin m\u00e1s requisito que, en su caso, el pago de una contraprestaci\u00f3n, de conformidad con lo se\u00f1alado por el Reglamento de esta Ley.<\/td> | Aquellas bases de datos, sistemas o archivos que por disposici\u00f3n de ley puedan ser consultadas p\u00fablicamente cuando no exista impedimento por una norma limitativa, y sin m\u00e1s exigencia que su caso, el pago de una contraprestaci\u00f3n, tarifa o contribuci\u00f3n. No se considerar\u00e1 fuente de acceso p\u00fablico cuando la informaci\u00f3n contenida en la misma sea obtenida o tenga una procedencia il\u00edcita, conforme a las disposiciones establecidas por la presente Ley y dem\u00e1s disposiciones jur\u00eddicas aplicables.<\/td><\/tr> | Responsable<\/td> | Persona f\u00edsica o moral de car\u00e1cter privado que decide sobre el tratamiento de datos personales.<\/td> | Sujetos regulados a que se refiere la fracci\u00f3n XVI de este art\u00edculo.<\/td><\/tr> | Sujetos regulados<\/td> | No hab\u00eda definici\u00f3n en la LFPDPPP.<\/td> | Personas f\u00edsicas o morales de car\u00e1cter privado que llevan a cabo el tratamiento de datos personales;<\/td><\/tr> | Tratamiento <\/td> | La obtenci\u00f3n, uso, divulgaci\u00f3n o almacenamiento de datos personales, por cualquier medio. El uso abarca cualquier acci\u00f3n de acceso, manejo, aprovechamiento, transferencia o disposici\u00f3n de datos personales.<\/td> | Cualquier operaci\u00f3n o conjunto de operaciones efectuadas mediante procedimientos manuales o automatizados aplicados a los datos personales, relacionadas con la obtenci\u00f3n, uso, registro, organizaci\u00f3n, conservaci\u00f3n, elaboraci\u00f3n, utilizaci\u00f3n, comunicaci\u00f3n, difusi\u00f3n, almacenamiento posesi\u00f3n, acceso, manejo, aprovechamiento, divulgaci\u00f3n, transferencia o disposici\u00f3n de datos personales.<\/td><\/tr> | Transferencias<\/td> | Toda comunicaci\u00f3n de datos realizada a persona distinta del responsable o encargado del tratamiento.<\/td> | Toda comunicaci\u00f3n de datos personales dentro o fuera del territorio mexicano, realizada a persona distinta de la titular, del responsable o de la persona encargada del tratamiento.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n | 2. Consentimiento<\/strong> La reforma tambi\u00e9n modifica las excepciones para no requerir el consentimiento. Anteriormente, este pod\u00eda omitirse si as\u00ed lo establec\u00eda una ley; con la nueva disposici\u00f3n, bastar\u00e1 con que est\u00e9 previsto en una norma jur\u00eddica, abriendo la posibilidad a que el consentimiento no sea necesario si lo dispone un reglamento, decreto o cualquier otra disposici\u00f3n jur\u00eddica.<\/p>\n\n\n\n Otro cambio importante es que, antes, el consentimiento pod\u00eda omitirse si as\u00ed lo determinaba una resoluci\u00f3n de una autoridad competente. Ahora, la excepci\u00f3n se ampl\u00eda a \u00f3rdenes judiciales, resoluciones o mandatos fundados y motivados de una autoridad competente.<\/p>\n\n\n\n Finalmente, la nueva ley establece que, si un responsable trata datos personales para una finalidad distinta a la prevista en el Aviso de Privacidad, deber\u00e1 solicitar nuevamente el consentimiento. En la legislaci\u00f3n actual, esto no es necesario si la nueva finalidad es compatible o an\u00e1loga con las establecidas en el aviso. Con la reforma, cualquier modificaci\u00f3n o adici\u00f3n a los fines del Aviso de Privacidad requerir\u00e1 el consentimiento del titular.<\/p>\n\n\n\n 3. Aviso de Privacidad<\/strong><\/p>\n\n\n\n Se incorpora como requisito m\u00ednimo que el Aviso de Privacidad indique los datos personales que ser\u00e1n sometidos a tratamiento. Asimismo, ahora ser\u00e1 obligatorio diferenciar entre finalidades necesarias y voluntarias. Ambas disposiciones estaban previstas en el Reglamento y\/o en los Lineamientos del Aviso de Privacidad, y ahora se incluyen en la Ley.<\/p>\n\n\n\n Por otro lado, se elimina el requisito de informar, a trav\u00e9s del Aviso de Privacidad, sobre las transferencias de datos a terceros. Sin embargo, por ahora seguir\u00e1 siendo obligatorio informar sobre ellas conforme a lo establecido en el Reglamento.<\/p>\n\n\n\n 4. Derechos ARCO<\/strong><\/p>\n\n\n\n Se precisa el alcance del derecho de cancelaci\u00f3n, que ahora se\u00f1ala que la cancelaci\u00f3n incluir\u00e1 archivos, registros, expedientes y sistemas del responsable donde se alojen los datos personales del titular.<\/p>\n\n\n\n En cuanto al derecho de oposici\u00f3n, se establece que los titulares podr\u00e1n ejercerlo cuando sus datos personales sean objeto de un tratamiento automatizado que afecte de manera significativa sus intereses, derechos o libertades y que est\u00e9 destinado a evaluar aspectos personales sin intervenci\u00f3n humana.<\/p>\n\n\n\n 5. Nueva autoridad de protecci\u00f3n de datos<\/strong><\/p>\n\n\n\n La Secretar\u00eda de Anticorrupci\u00f3n y Buen Gobierno asumir\u00e1 las funciones que anteriormente correspond\u00edan al Instituto Nacional de Transparencia, Acceso a la Informaci\u00f3n y Protecci\u00f3n de Datos Personales (INAI), convirti\u00e9ndose en la nueva autoridad en materia de protecci\u00f3n de datos personales para particulares.<\/p>\n\n\n\n Adem\u00e1s, la reforma elimina a la Secretar\u00eda de Econom\u00eda como autoridad reguladora en esta materia.<\/p>\n\n\n\n 6. Procedimientos en la materia.<\/strong><\/p>\n\n\n\n Se prev\u00e9 como medio de impugnaci\u00f3n el juicio de Amparo Indirecto, as\u00ed como la habilitaci\u00f3n de juzgados creaci\u00f3n de jueces y tribunales especializados en materia de acceso a la informaci\u00f3n p\u00fablica y protecci\u00f3n de datos personales. El Poder Judicial Federal deber\u00e1 habilitarlos en un plazo, no mayor a 120 d\u00edas naturales, a partir de la entrada en vigor de la nueva ley. Ahora bien, resulta cuestionable que el medio de defensa sea el Amparo Indirecto y no el juicio contencioso administrativo ante el Tribunal Federal de Justicia Administrativa (TFJA), puesto que \u00e9ste \u00faltimo tiene, en principio, competencia para revisar los actos emitidos por los \u00f3rganos de la Administraci\u00f3n P\u00fablica Federal, dentro de los que se incluye la Secretar\u00eda Anticorrupci\u00f3n y Buen Gobierno.<\/p>\n\n\n\n Ahora bien, el Ejecutivo Federal tendr\u00e1 90 d\u00edas naturales para expedir las adecuaciones correspondientes a los reglamentos y dem\u00e1s legislaci\u00f3n secundaria como el Reglamento de la Ley Federal de Protecci\u00f3n de Datos Personales en Posesi\u00f3n de los Particulares.<\/p>\n\n\n\n Es importante mencionar que los particulares deber\u00e1n revisar y ajustar sus pol\u00edticas y pr\u00e1cticas internas para adecuarlas a los cambios que conlleva la vigencia de la nueva ley. Asimismo, es recomendable implementar capacitaciones al personal y colaboradores para socializar la NLPDPPP, en su momento la reglamentaci\u00f3n y la nueva autoridad. Finalmente, es de suma importancia estar al tanto de la Secretar\u00eda para conocer sus nuevas pr\u00e1cticas y criterios. <\/p>\n\n\n\n Cabe destacar que a partir de la vigencia de la NLFPDPPP los procedimientos en materia de protecci\u00f3n de datos ser\u00e1n conocidos por la Secretar\u00eda; a pesar de ser esencialmente los mismos procedimientos que la LFPDPPP abrogada, es importante tener en cuenta que a diferencia del extinto INAI, la Secretar\u00eda no es un cuerpo colegiado, y tanto la estructura como los criterios de la Secretar\u00eda ser\u00e1n distintos. Destacando sobre todo que la Secretar\u00eda forma parte del Ejecutivo Federal, contrario a la naturaleza independiente, y constitucionalmente aut\u00f3noma del INAI. <\/p>\n\n\n\n El \u00e1rea de tecnolog\u00edas de la informaci\u00f3n y protecci\u00f3n de datos de nuestra firma queda a sus \u00f3rdenes.<\/p>\n\n\n\n Sincerely yours, <\/p>\n\n\n\n Adolfo Athi\u00e9 Cervantes<\/p>\n\n\n\n aathie@basham.com.mx<\/a><\/p>\n\n\n\n Renata Denisse Buer\u00f3n Valenzuela<\/p>\n\n\n\n rbueron@basham.com.mx<\/a><\/p>\n\n\n\n Erika Itzel Rodr\u00edguez Kushelevich<\/p>\n\n\n\n erodriguez@basham.com.mx<\/a><\/p>\n\n\n\n Ivan Garc\u00eda Argueta<\/p>\n\n\n\n |