Cambió la ley de datos
y casi nadie se enteró.

Si el aviso de privacidad de su empresa dice que se rige por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares de 2010, y remite al INAI para las quejas, hoy tiene dos errores: la ley fue abrogada y la autoridad dejó de existir. Es un problema más común de lo que parece, y tiene arreglo.

Qué cambió, con fechas

El 20 de marzo de 2025 se publicó en el Diario Oficial de la Federación una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, vigente desde el día siguiente. No es una reforma parcial al texto de 2010: es una ley nueva que lo abroga por completo, aunque conserve el mismo nombre.¹

Ese cambio no ocurrió aislado. Viene de la reforma constitucional en materia de simplificación orgánica, publicada en diciembre de 2024, que extinguió al Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales. Sus atribuciones sobre datos personales en posesión de particulares pasaron a la Secretaría Anticorrupción y Buen Gobierno.¹

Lo que hay que corregir hoy

La revisión es corta y conviene hacerla con el documento a la vista:

La autoridad. Si el aviso manda al titular a home.inai.org.mx, lo está mandando a una puerta cerrada. La autoridad competente es la Secretaría Anticorrupción y Buen Gobierno.

El fundamento. Citar «la LFPDPPP» sigue siendo correcto de nombre, pero conviene precisar de qué ley se habla — la vigente desde marzo de 2025 — porque la anterior está abrogada y la distinción importa si alguien revisa.

El reglamento. Aquí hay un matiz que se pasa por alto. El Ejecutivo tenía noventa días naturales desde la entrada en vigor para expedir las adecuaciones reglamentarias. A la fecha de este texto ese reglamento sigue pendiente, de modo que el Reglamento de 2011 se aplica de forma supletoria en lo que no contradiga la nueva ley.² Un aviso que lo cite como si fuera fuente plena y vigente está afirmando de más.

Los plazos ARCO. El responsable sigue obligado a comunicar su resolución dentro de los veinte días hábiles. Si no responde o la respuesta no satisface, el titular puede acudir ante la Secretaría dentro de los quince días siguientes.²

Lo que no cambió

Conviene decirlo con la misma claridad, porque circula alarmismo: la nueva ley es sustancialmente similar a su antecesora. Los principios —licitud, consentimiento, información, calidad, finalidad, lealtad, proporcionalidad y responsabilidad— siguen ahí. Los derechos ARCO siguen ahí. La figura del encargado sigue ahí. Quien tenía un programa de cumplimiento serio bajo la ley de 2010 no necesita rehacerlo: necesita actualizar referencias y revisar quién supervisa.

El riesgo real no es la ley nueva. Es que el aviso de privacidad lleve años sin que nadie lo lea, y que ahora además apunte a una institución que ya no existe.

Por qué esto nos importa a nosotros

Hacemos esta nota por una razón concreta: cuando publicamos la versión actual de este sitio, nuestro propio aviso de privacidad remitía al INAI. Lo detectamos, lo verificamos contra el Diario Oficial y lo corregimos el mismo día.

Lo contamos porque ilustra el punto mejor que cualquier advertencia. Un documento legal no es un entregable que se firma una vez: es una pieza de infraestructura que envejece, y que envejece en silencio. Nadie recibe una notificación cuando la autoridad a la que su empresa remite a sus clientes deja de existir.

Si tratan datos personales de clientes, empleados o proveedores —y prácticamente toda organización lo hace—, la revisión de los cuatro puntos de arriba toma menos de una hora. Vale la pena hacerla antes de que la haga alguien más.

Esta nota es informativa y no constituye asesoría legal para un caso concreto.