En 2026, las empresas que tratan datos personales en México deben trabajar sobre la Ley Federal de Protección de Datos Personales en Posesión de los Particulares publicada en 2025 y su reforma vigente. El cumplimiento no se agota en publicar un aviso: exige conocer los flujos de información, limitar finalidades, atender derechos y sostener medidas de seguridad demostrables. Esta guía ofrece un mapa práctico para ordenar ese trabajo. Es material informativo y no constituye asesoría legal.
El punto de partida normativo
La ley federal aplica, en términos generales, a personas físicas o morales privadas que deciden sobre el tratamiento de datos personales. Su operación debe respetar los principios de licitud, finalidad, lealtad, consentimiento, calidad, proporcionalidad, información y responsabilidad. Los datos sensibles requieren cautelas reforzadas y, salvo las excepciones legales, consentimiento expreso y por escrito. La Secretaría Anticorrupción y Buen Gobierno es la autoridad prevista por la ley vigente. Los diálogos públicos iniciados en 2026 para actualizar disposiciones secundarias no sustituyen el texto aplicable: cualquier cambio debe confirmarse en el Diario Oficial de la Federación antes de modificar políticas, formatos o controles internos.
Del inventario al ejercicio de derechos
Un programa útil comienza con un inventario que identifique qué datos entran, para qué se usan, dónde se alojan, quién accede y con quién se comparten. Cada finalidad debe vincularse con una base válida y reflejarse en el aviso de privacidad, incluyendo identidad y domicilio del responsable, datos tratados, finalidades, medios para limitar uso, mecanismos ARCO y procedimiento para comunicar cambios. También conviene revisar contratos con encargados y transferencias. La empresa debe designar una persona o departamento para tramitar solicitudes. Como regla general, la respuesta ARCO se comunica en un máximo de veinte días hábiles y, si procede, se hace efectiva dentro de los quince siguientes, con las extensiones justificadas que permite la ley.
Seguridad, incidentes y evidencia
Las medidas administrativas, técnicas y físicas deben corresponder al riesgo, la sensibilidad de la información, el desarrollo tecnológico y las consecuencias posibles. No basta una política genérica: se necesitan accesos por función, gestión de proveedores, respaldos, capacitación, conservación limitada y un protocolo para incidentes. Cuando una vulneración afecte de forma significativa los derechos patrimoniales o morales de las personas, la ley exige informarles de manera inmediata. El expediente del incidente debe conservar la cronología, alcance, decisiones, comunicaciones y correcciones, sin ampliar innecesariamente los datos guardados. Auditorías periódicas, pruebas de respuesta y métricas de solicitudes permiten acreditar responsabilidad y detectar desviaciones antes de una verificación.
Puntos clave
- El aviso de privacidad es una pieza del sistema, no el sistema completo de cumplimiento.
- Las finalidades, datos y plazos de conservación deben ser necesarios y proporcionales.
- Los datos sensibles y las transferencias requieren una revisión jurídica específica.
- La empresa debe poder demostrar sus decisiones, controles y atención de derechos.
Qué conviene revisar
- Levantar un inventario de tratamientos, proveedores, transferencias y plazos de conservación.
- Comparar avisos, consentimientos y procedimientos ARCO contra la ley vigente.
- Probar el protocolo de vulneraciones y documentar responsables, criterios y canales de comunicación.