Saltar al contenido
AI Policy Generator

ENQué me toca

México · Ley

Ley Federal de Protección de Datos Personales en Posesión de los Particulares (2025)

VigenteLFPDPPP 2025

Resumen

Es la ley de datos personales del sector privado. Sustituyó a la de 2010 y trasladó la supervisión del extinto INAI a la Secretaría Anticorrupción y Buen Gobierno. Exige aviso de privacidad, consentimiento para finalidades nuevas y medidas de seguridad, y reconoce el derecho a oponerse al tratamiento automatizado sin intervención humana que afecte de forma significativa a la persona (art. 26). No regula la IA de forma específica ni exige evaluaciones de impacto, pero cualquier sistema de IA que use datos personales debe cumplirla.

A quién se dirige

Personas físicas y empresas privadas que tratan datos personales en México, incluidos los encargados que tratan datos por cuenta de otros.

Sanciones

Apercibimiento y multas de 100 a 160,000 UMA o de 200 a 320,000 UMA según la infracción, con una multa adicional por reiteración; pueden aumentar si hay datos sensibles (art. 59).

Nombre oficial
Ley Federal de Protección de Datos Personales en Posesión de los Particulares
Referencia oficial
Expedida por el Decreto publicado en el DOF el 20 de marzo de 2025 (edición vespertina), en vigor desde el 21 de marzo de 2025; abroga la ley de 2010
Autoridad
Secretaría Anticorrupción y Buen Gobierno (SABG)
Fuente oficial
Consultar la fuenteCómo verificamos las fuentes

Fechas clave

Obligaciones y fechas

Tabla de obligaciones
ObligaciónArtículo o citaEstadoFechaA quién se dirigeVerificación
Aviso de privacidad que incluya los usos con IALFPDPPP 2025, arts. 14 a 16Vigente21 de marzo de 2025Si trata datos personales en México, también cuando los usa en sistemas de IA (chatbots, perfilado, análisis).Verificado en fuente oficial el 4 de noviembre de 2026
Nuevo consentimiento para usar datos en IA con fines nuevosLFPDPPP 2025, art. 11Vigente21 de marzo de 2025Si quiere usar datos personales ya recabados para un fin con IA que no estaba en el aviso original, por ejemplo entrenar o ajustar modelos.Verificado en fuente oficial el 4 de noviembre de 2026
Contratos con encargados, incluidos proveedores de IALFPDPPP 2025, arts. 2, fr. XII, y 20; Reglamento de 2011 (contenido del contrato)Vigente21 de marzo de 2025Si un proveedor (nube, herramienta de IA, agencia) trata datos personales por cuenta de su empresa.Pendiente de confirmar en fuente oficial (última comprobación: 4 de noviembre de 2026)
Transferencias de datos a terceros y a otros paísesLFPDPPP 2025, arts. 2, fr. XX, 35 y 36Vigente21 de marzo de 2025Si envía datos personales a terceros o a proveedores fuera de México, como servicios de IA en la nube.Verificado en fuente oficial el 4 de noviembre de 2026
Medidas de seguridad y aviso de vulneracionesLFPDPPP 2025, arts. 18 y 19Vigente21 de marzo de 2025Si trata datos personales, incluidos los que entran o salen de sistemas de IA.Verificado en fuente oficial el 4 de noviembre de 2026
Atender los derechos ARCOLFPDPPP 2025, arts. 21 a 34Vigente21 de marzo de 2025Si trata datos personales de clientes, empleados o usuarios.Verificado en fuente oficial el 4 de noviembre de 2026

Aviso de privacidad que incluya los usos con IA

LFPDPPP 2025, arts. 14 a 16Vigente

Aplicable desde 21 de marzo de 2025

Cuándo se relaciona
Si trata datos personales en México, también cuando los usa en sistemas de IA (chatbots, perfilado, análisis).
Qué prevé la norma
  • Tener un aviso de privacidad integral y, en medios electrónicos, uno simplificado con enlace al integral.
  • Separar en el aviso las finalidades que requieren consentimiento de las que no lo requieren.
  • Describir como finalidad cada uso relevante de IA con datos personales (por ejemplo, atención automatizada, perfilado o mejora de modelos).
Evidencias habituales
  • Aviso integral y simplificado publicados, con fecha y versión.
  • Mapa de finalidades por sistema de IA.
Verificación
Verificado en fuente oficial el 4 de noviembre de 2026Comprobado en el texto de la ley publicado en el DOF (Decreto del 20-mar-2025, artículo tercero): arts. 14 y 15 (contenido del aviso; fr. III: distinguir las finalidades que requieren consentimiento) y art. 16 (aviso simplificado en medios electrónicos con enlace al integral). Describir cada uso de IA como finalidad se relaciona con el art. 15. Rige desde el 21-mar-2025 (transitorio primero).

Contratos con encargados, incluidos proveedores de IA

LFPDPPP 2025, arts. 2, fr. XII, y 20; Reglamento de 2011 (contenido del contrato)Vigente

Aplicable desde 21 de marzo de 2025

Cuándo se relaciona
Si un proveedor (nube, herramienta de IA, agencia) trata datos personales por cuenta de su empresa.
Qué prevé la norma
  • Firmar con cada encargado un contrato que limite el uso de los datos a sus instrucciones y exija confidencialidad y seguridad. La ley de 2025 define a la persona encargada y exige confidencialidad a quienes intervienen en el tratamiento (art. 20); el contenido del contrato procede del Reglamento de 2011 y de buenas prácticas.
  • Como buena práctica, prohibir que el proveedor use los datos para entrenar sus propios modelos salvo autorización expresa.
Evidencias habituales
  • Contratos o anexos de tratamiento firmados con cada proveedor de IA.
  • Lista de proveedores con datos personales.
Verificación
Pendiente de confirmar en fuente oficial (última comprobación: 4 de noviembre de 2026)Comprobado en el DOF que la ley de 2025 define a la persona encargada (art. 2, fr. XII) y exige confidencialidad a quienes intervienen en el tratamiento (art. 20), pero no regula el contrato con el encargado. Queda sin confirmar si el Reglamento de 2011, que sí lo regula, sigue aplicándose mientras no se expida uno nuevo.

Transferencias de datos a terceros y a otros países

LFPDPPP 2025, arts. 2, fr. XX, 35 y 36Vigente

Aplicable desde 21 de marzo de 2025

Cuándo se relaciona
Si envía datos personales a terceros o a proveedores fuera de México, como servicios de IA en la nube.
Qué prevé la norma
  • Distinguir el envío a una persona encargada, que trata los datos por cuenta de su empresa, de la transferencia a un tercero (art. 2, fr. XX); la ley de 2025 no usa el término "remisión".
  • Comunicar al receptor el aviso de privacidad y las finalidades, e indicar en el aviso si la persona acepta la transferencia (art. 35).
  • Obtener consentimiento para transferencias que no encajen en las excepciones del art. 36.
  • Como buena práctica, documentar destinatario, país, finalidad y base de cada envío.
Evidencias habituales
  • Expediente de flujos internacionales por proveedor.
Verificación
Verificado en fuente oficial el 4 de noviembre de 2026Comprobado en el texto de la ley publicado en el DOF (Decreto del 20-mar-2025, artículo tercero): art. 2, fr. XX (definición de transferencia, distinta del envío a la persona encargada), art. 35 (aviso y cláusula de aceptación) y art. 36 (excepciones al consentimiento). Rige desde el 21-mar-2025 (transitorio primero).

Medidas de seguridad y aviso de vulneraciones

LFPDPPP 2025, arts. 18 y 19Vigente

Aplicable desde 21 de marzo de 2025

Cuándo se relaciona
Si trata datos personales, incluidos los que entran o salen de sistemas de IA.
Qué prevé la norma
  • Aplicar medidas administrativas, técnicas y físicas proporcionales al riesgo.
  • Informar de forma inmediata a las personas afectadas cuando una vulneración afecte de forma significativa sus derechos patrimoniales o morales.
  • Como buena práctica, registrar las vulneraciones y las medidas adoptadas; la ley de 2025 no lo exige de forma expresa.
Evidencias habituales
  • Plan de respuesta a incidentes probado.
  • Bitácora de vulneraciones.
Verificación
Verificado en fuente oficial el 4 de noviembre de 2026Comprobado en el texto de la ley publicado en el DOF (Decreto del 20-mar-2025, artículo tercero): art. 18 (medidas administrativas, técnicas y físicas según el riesgo) y art. 19 (informar "de forma inmediata" a las personas titulares). El registro de vulneraciones es una buena práctica. Rige desde el 21-mar-2025 (transitorio primero).

Atender los derechos ARCO

LFPDPPP 2025, arts. 21 a 34Vigente

Aplicable desde 21 de marzo de 2025

Cuándo se relaciona
Si trata datos personales de clientes, empleados o usuarios.
Qué prevé la norma
  • Tener un procedimiento para recibir y responder solicitudes ARCO, también sobre datos usados por sistemas de IA: comunicar la respuesta en 20 días y hacerla efectiva en los 15 siguientes (art. 31).
  • Permitir que la persona se oponga al tratamiento automatizado sin intervención humana que le produzca efectos jurídicos no deseados o afecte de forma significativa sus intereses (art. 26, fr. II), y documentar cómo se revisan esas decisiones.
  • Tener en cuenta que la oposición no procede cuando el tratamiento es necesario para cumplir una obligación legal (art. 26).
Evidencias habituales
  • Registro de solicitudes y respuestas.
Verificación
Verificado en fuente oficial el 4 de noviembre de 2026Comprobado en el texto de la ley publicado en el DOF (Decreto del 20-mar-2025, artículo tercero): arts. 21 a 34; art. 26, fr. II (oposición al tratamiento automatizado) y último párrafo (no procede ante una obligación legal); art. 31 (plazos de 20 y 15 días). Rige desde el 21-mar-2025 (transitorio primero).

Alertas de cambios normativos por país

Elige los países que te interesan y te avisaremos por email cuando cambiemos en nuestro registro una norma o una fecha de aplicación de esos países.

  • Cambios en las normas de los países que elijas, cuando los incorporamos al registro.
  • Nuevas fechas de aplicación.
  • No más de un email a la semana. Te das de baja cuando quieras.

Es un aviso informativo y gratuito, no un servicio de seguimiento legal: no detecta necesariamente todos los cambios ni en un plazo concreto.

Países · Elige uno o varios.
Estados de EE. UU.
Idioma de los emails
Gestionar mis alertas

Descubre qué te toca (gratis)