Leer en ingles/Read in English.
El 20 de marzo de 2025 se publicó en el Diario Oficial de la Federación, la nueva Ley General de Protección de Datos Personales en Posesión de los Particulares (“LFPDPPP”). La nueva ley abroga, con fecha efectiva 21 de marzo, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares publicada en julio de 2010.
Dentro de los principales temas a destacar relacionados con el Decreto y la nueva LFPDPPP está la desaparición del Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (“INAI”), que antes de la publicación del Decreto, se desempeñaba como órgano autónomo regulador y de supervisión en materia de transparencia, acceso a la información y protección de datos personales. A partir del 21 de marzo de 2025, la supervisión, vigilancia y regulación en materia de protección de datos personales será responsabilidad de la Secretaría Anticorrupción y Buen Gobierno (la “Secretaría”), entidad que depende directamente del poder ejecutivo.
En adición a las modificaciones orgánicas al órgano regulador en México en materia de protección de datos personales, destacamos los siguientes puntos que consideramos útiles para análisis en materia de cumplimiento legal de la nueva LPPDPPP:
- Se modifica la definición de “Datos Personales”, eliminando la limitación a una persona física y ampliando el alcance a una persona identificable -cuando su identidad pueda determinarse directa o indirectamente a través de cualquier información-.
- Se añade que la manifestación de voluntad para el otorgamiento del consentimiento del titular debe ser otorgado de forma “libre, específica e informada…”
- Las fuentes de acceso público son limitativamente aquellas que por disposición de la ley puedan ser consultadas, siempre que no exista impedimento y no tendrán más exigencia que el pago de un costo por su consulta.
- Se amplía el alcance del tratamiento de datos personales a “Cualquier operación o conjunto de operaciones efectuadas mediante procedimientos manuales o automatizados aplicados a los datos personales, relacionadas con la obtención, uso, registro, organización, conservación, elaboración, utilización, comunicación, difusión, almacenamiento, posesión, acceso, manejo, aprovechamiento, divulgación, transferencia o disposición de datos personales”.
- Como regla general, se prevé el consentimiento tácito del titular de datos personales para el tratamiento, siempre que la ley no exija la obtención del consentimiento expreso.
- Como parte de los requisitos del aviso de privacidad, la nueva LFPDPPP requiere que el responsable señale las finalidades del tratamiento que requieran el consentimiento del titular. Además, se elimina de forma expresa la obligación de señalar las transferencias de datos realizadas por el responsable.
- Las resoluciones de la Secretaría Anticorrupción y Buen Gobierno podrán impugnarse a través de juicios de amparo promovidos ante jueces y tribunales especializados.
Conclusiones:
- Si bien esta reforma no introduce cambios sustanciales respecto de las obligaciones de los responsables en el tratamiento de datos personales, las empresas deben priorizar una revisión detallada de su aviso de privacidad y, en su caso, ajustarlo a las disposiciones de la nueva Ley incluyendo, en su caso, la sustitución de referencias al INAI.
- En caso de tener un procedimiento iniciado ante el INAI en materia de datos personales durante la vigencia de la ley anterior, es importante tomar en cuenta que las disposiciones la ley anterior continuarán en vigor respecto de dicho procedimiento con la salvedad de que ahora el mismo se tramitará ante la Secretaría.
- El Ejecutivo contará con un plazo de noventa días naturales para expedir las adecuaciones necesarias al Reglamento de la nueva LFPDPPP, por lo que las empresas deberán estar atentas a dicha publicación para identificar posibles cambios que afecten el cumplimiento de las obligaciones a su cargo bajo esta ley.