La ley de datos personales cambió en México. Tu operación, probablemente no.
Tu aviso de privacidad describe cómo informas sobre transferencias de datos. Tu CRM sincroniza contactos con cuatro herramientas distintas. El score que decide a qué lead se le llama primero lo calcula un modelo, sin que nadie lo apruebe caso por caso.
Las tres cosas cambiaron de estatus legal el 21 de marzo de 2025, cuando entró en vigor la nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares. En la mayoría de las empresas con las que hablamos, en ninguna se ha revisado desde entonces.
Y se entiende: el cambio se comunicó como noticia jurídica, así que aterrizó en el escritorio del abogado externo y ahí se quedó. Pero en la práctica es un cambio de arquitectura. Le pega al CRM, al stack de martech y a cualquier proceso automatizado que ya existe.
Antes de seguir, algo que hay que decir con claridad: no somos abogados y esto no es asesoría legal. Es la lectura operativa, que es la parte que sí nos toca. La interpretación jurídica es de tu abogado, y vale la pena que la tenga.
Qué cambió, y qué tan firme está cada cosa
Revisamos tres fuentes independientes. No coinciden en todo, así que marcamos el nivel de certeza de cada punto.
La autoridad ya no es el INAI. Las funciones de protección de datos personales en posesión de particulares pasaron a la Secretaría Anticorrupción y Buen Gobierno. Las tres fuentes coinciden.
La ley está vigente desde el 21 de marzo de 2025, publicada en el Diario Oficial el 20 de marzo. Dos fuentes lo dicen explícitamente.
Existe el derecho a oponerse al tratamiento automatizado, cuando ese tratamiento produce efectos jurídicos adversos o afecta significativamente los derechos o libertades del titular. Dos fuentes con redacción casi idéntica. Este es el punto que más nos interesa y volvemos a él en un momento.
Aparece el aviso de privacidad simplificado para datos obtenidos por medios electrónicos, con contenido mínimo definido: identidad y domicilio del responsable, qué datos se tratan, finalidades distinguiendo cuáles requieren consentimiento, medios para limitar el uso, y referencia al aviso integral. Dos fuentes.
Se eliminó la obligación de informar sobre transferencias en el aviso. Esto lo reporta una sola de las fuentes que consultamos. Si tu operación depende de transferir datos a terceros, no lo tomes como cierto sin confirmarlo.
Las personas morales podrían ejercer derechos ARCO. Una fuente lo afirma; otra no lo especifica. Queda abierto, y para una empresa B2B no es un detalle menor.
Las multas van de 100 a 320,000 Unidades de Medida, duplicables si hay datos sensibles. También de una sola fuente. El orden de magnitud importa más que la cifra exacta.
Por qué esto le pega justo a quien ya automatizó
Casi todo el análisis publicado se concentra en el aviso de privacidad. Es lo visible y es lo fácil de arreglar, así que tiene sentido que sea lo primero que se atiende. El otro punto casi nadie lo está señalando.
Si una persona puede oponerse a que sus datos sean tratados de forma automatizada, entonces cualquier proceso que se decida sin un humano en medio necesita algunas cosas que la mayoría de los stacks no tiene:
Primero, saber qué está decidiendo la máquina. No qué herramientas usas, sino qué decisión concreta se toma sin que nadie la apruebe. Un score que ordena la fila de atención es quien decide. Una regla que descarta un lead, también.
Segundo, poder apagarlo para una persona en particular. No apagar la automatización completa: excluir a un titular que se opuso y que el resto siga corriendo. Si tu única opción es todo o nada, no puedes atender la solicitud sin frenar la operación.
Y tercero, poder demostrar qué pasó. Rastro de qué datos entraron, qué regla aplicó y cuándo. Sin eso solo tienes una explicación, no una respuesta.
Nada de esto se resuelve con un texto legal nuevo en el pie del sitio. Es trabajo de arquitectura de datos.
Aquí aparece el problema de secuencia que vemos seguido: empresas que automatizaron antes de ordenar sus datos. Cuando llega una obligación como esta, descubren que no pueden contestar quién tiene qué, ni desde cuándo, ni con qué consentimiento, porque los datos están repartidos entre un CRM, dos hojas de cálculo, la plataforma de correo y lo que quedó guardado en la bandeja de alguien que ya no trabaja ahí.
La ley no creó ese problema. Le puso fecha.
Qué revisar el lunes
Cuatro cosas que se pueden hacer sin contratar a nadie.
Realizar inventario dónde vive un dato personal. No las herramientas: los lugares. CRM, plataforma de correo, hojas de cálculo compartidas, formularios del sitio, WhatsApp de ventas, respaldos. La lista casi siempre sale más larga de lo que la dirección esperaba, y esa sorpresa suele ser lo más útil del ejercicio.
Haz la lista de decisiones automatizadas. Una línea por cada proceso que se decide sin aprobación humana. Al lado, dos columnas: ¿se puede excluir a una persona? ¿queda rastro de por qué se decidió lo que decidió? Las casillas vacías son tu lista de pendientes.
Compara tu aviso de privacidad contra el contenido mínimo del simplificado. Es media hora de trabajo. Identidad y domicilio, datos tratados con mención de los sensibles, finalidades separando las que requieren consentimiento, medios para limitar el uso, y referencia al aviso integral.
Define quién responde una solicitud ARCO y en cuánto tiempo. No es una pregunta legal, es operativa. Si mañana entra una solicitud por el formulario del sitio, ¿a quién le llega? ¿quién busca en los seis lugares del punto 1? ¿quién contesta? Si la respuesta es "no sé", eso se arregla esta semana y no cuando llegue la primera.
Sobre el reglamento
Según las fuentes que consultamos, el reglamento detallado seguía pendiente. Eso quiere decir que parte de la operación fina todavía se va a definir, y que quien empiece a ordenar ahora va a llegar con una ventaja en lugar de llegar de forma reactiva.
De todos modos, saber dónde viven tus datos y qué decide tu automatización es trabajo que se justifica solo. Lo que cambió es que ahora también tiene consecuencia.
Si al leer el punto 2 no pudiste hacer la lista de memoria, ese es exactamente el estado que revisamos en un diagnóstico.
Agenda tu llamada de briefing estratégico — 30 minutos, sin costo.
Fuentes:
Littler — México tiene nueva ley en materia de protección de datos personales
HLC — Mexico's new federal data protection law: what it means for companies
EY México — Entrada en vigor de la nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares
