Normativa · 25 de octubre de 2026

Qué le pide la ley de datos personales a los sistemas de una empresa pequeña

La LFPDPPP de 2025 aplica a cualquier empresa que guarde datos de clientes, empleados o proveedores, aunque sea en una hoja de cálculo. Esta guía traduce sus obligaciones a lo que tiene que existir en el sistema: inventario, aviso, permisos, respaldos, proveedores, derechos ARCO y qué hacer si hay una fuga.

Publicado el 25 de octubre de 2026

Lo esencial

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) está vigente desde el 21 de marzo de 2025 y la vigila la Secretaría Anticorrupción y Buen Gobierno. Aplica a toda persona física o empresa privada que trate datos personales, sin importar su tamaño.
Dato personal es cualquier información de una persona identificada o identificable: el nombre y el correo de un cliente, la nómina, el RFC de un proveedor que sea persona física, las imágenes de una cámara en las que se reconoce a alguien.
La ley y su Reglamento piden ocho cosas que viven en el sistema: un aviso de privacidad que diga la verdad sobre lo que el sistema hace, recabar solo lo necesario, borrar cuando ya no haga falta, medidas de seguridad, confidencialidad de quien toca los datos, contratos con los proveedores que los tratan, un procedimiento para responder a las personas y un plan para cuando algo se fuga.
Las multas van de 100 a 320,000 veces la UMA. Con la UMA de 2026, de 11,731 a 37,539,200 pesos, y hasta el doble si son datos sensibles.

A quién aplica

A los «sujetos regulados»: personas físicas o morales de carácter privado que lleven a cabo el tratamiento de datos personales (artículo 2, fracción XVI). Tratamiento es casi cualquier cosa que se haga con ellos, a mano o por sistema: obtener, usar, almacenar, acceder, comunicar, transferir o disponer de ellos (fracción XIX). Quedan fuera las sociedades de información crediticia en lo que ya regula su propia ley, y quien recolecta y guarda datos para uso exclusivamente personal, sin divulgarlos ni usarlos con fines comerciales (artículo 1).

Una empresa pequeña trata datos personales aunque no venda en línea: la nómina y los expedientes de su personal, la lista de clientes con teléfono y correo, las facturas de proveedores que son personas físicas, el formulario de contacto de su sitio, las conversaciones de WhatsApp con clientes y las grabaciones de sus cámaras.

Qué es un dato personal y cuáles son sensibles

Dato personal es «cualquier información concerniente a una persona identificada o identificable» (artículo 2, fracción V). Son sensibles los que afectan la esfera más íntima de la persona o cuyo uso indebido puede dar lugar a discriminación o a un riesgo grave para ella. La ley pone ejemplos sin cerrar la lista: origen racial o étnico, estado de salud presente o futuro, información genética, creencias religiosas, filosóficas y morales, opiniones políticas y preferencia sexual (fracción VI).

Los sensibles tienen reglas aparte. Hace falta consentimiento expreso y por escrito, con firma autógrafa, firma electrónica o un mecanismo de autenticación (artículo 8), salvo en los casos del artículo 9 en que la ley no exige recabarlo, como cuando una norma obliga a tener el dato o hace falta para cumplir una relación jurídica con la persona; y no se puede crear una base de datos sensibles sin una finalidad legítima y concreta que lo justifique. Los datos financieros o patrimoniales también requieren consentimiento expreso, aunque no necesariamente por escrito, con las mismas excepciones (artículo 7). Para el resto, por regla general basta el consentimiento tácito: haber puesto el aviso de privacidad a disposición de la persona sin que ella diga lo contrario, salvo que otra norma exija consentimiento expreso.

Para una empresa pequeña esto tiene una consecuencia práctica: un consultorio con expedientes clínicos, una escuela con fichas médicas de sus alumnos o cualquier empresa que guarda incapacidades médicas de su personal trata datos sensibles, y su sistema tiene que tratarlos distinto al resto.

Lo que pide la ley y dónde vive en el sistema

Las obligaciones están escritas para el «responsable», que es la empresa. Pero cada una se cumple o se incumple en un lugar concreto: un formulario, una tabla, un permiso, un respaldo. Esta es la correspondencia.

1. El aviso de privacidad dice lo que el sistema hace

El aviso debe contener al menos: la identidad y el domicilio del responsable; qué datos se tratan, identificando los sensibles; las finalidades, distinguiendo las que requieren consentimiento; cómo limitar el uso de los datos; cómo ejercer los derechos ARCO; y cómo se comunicarán los cambios (artículo 15). Cuando los datos se recaban por un formulario web, hay que mostrar en ese momento una versión simplificada con los cuatro primeros puntos y el enlace al aviso completo (artículo 16).

En el sistema: el formulario muestra el aviso simplificado antes de enviar, cada versión del aviso se guarda con su fecha, y la lista de datos del aviso coincide con los campos que de verdad se recaban. Un aviso al que le falte alguno de esos seis elementos es una infracción por sí mismo (artículo 58, fracción V), y tratar datos que el aviso no menciona es tratarlos en contra de los principios de la ley (fracción IV).

2. Solo lo necesario, solo para lo dicho

El tratamiento se limita a las finalidades del aviso (artículo 11) y debe ser el necesario, adecuado y relevante para ellas; con datos sensibles, el responsable debe hacer esfuerzos razonables para que el periodo de tratamiento sea el mínimo indispensable (artículo 12). Si se quieren usar los datos para otra cosa, hace falta consentimiento nuevo.

En el sistema: cada campo tiene una razón de ser. Si el formulario de contacto pide fecha de nacimiento y nadie la usa, sobra.

3. Borrar cuando ya no haga falta

Cuando los datos dejan de ser necesarios para la finalidad del aviso, deben suprimirse, previo bloqueo cuando proceda y una vez vencido su plazo de conservación (artículo 10). El bloqueo es conservarlos sin tratarlos, solo para responder por posibles responsabilidades, hasta que prescriban (artículo 2, fracción III). Los datos sobre incumplimientos contractuales se eliminan a los 72 meses contados desde la fecha del incumplimiento.

En el sistema: una fecha de conservación por tipo de dato, una forma de bloquear un registro sin borrarlo y una forma de borrarlo de verdad, incluidos los respaldos. Si el borrado existe solo en la base de datos y no en las copias de seguridad, no existe: la ley define la base de datos con independencia del soporte (artículo 2, fracción II) y el Reglamento pide un registro de los medios de almacenamiento (artículo 61, fracción IX).

4. Medidas de seguridad

El artículo 18 pide medidas administrativas, técnicas y físicas que protejan los datos contra daño, pérdida, alteración, destrucción o uso, acceso o tratamiento no autorizado; nunca menores a las que la empresa usa para su propia información; y proporcionales al riesgo, a las consecuencias para las personas, a la sensibilidad de los datos y al desarrollo tecnológico.

El detalle está en el Reglamento. La ley de 2025 remite a él (artículo 2, fracción XIII) y su transitorio décimo segundo dio al Ejecutivo noventa días para adecuar los reglamentos. Al 25 de octubre de 2026 esa adecuación no aparece en el Diario Oficial ni en la lista de reglamentos vigentes de la Cámara de Diputados, que sigue publicando el de 2011. Es la guía más concreta que hay, aunque se escribió para la ley de 2010, cita su numeración y habla del INAI (sus menciones se entienden hechas a la Secretaría, transitorio cuarto); su abogado debe confirmarle qué partes le aplican. Su artículo 61 enumera las acciones: un inventario de datos personales y de los sistemas que los tratan; las funciones y obligaciones de quienes los tocan; un análisis de riesgos; las medidas de seguridad establecidas y cuáles funcionan de verdad; un análisis de brecha entre lo que hay y lo que falta; un plan de trabajo para lo que falta; revisiones o auditorías; capacitación; y un registro de los medios donde se almacenan los datos.

En el sistema, lo que casi siempre falta en una empresa pequeña:

Una cuenta por persona, con permisos según su función, y sin cuentas compartidas. Si tres personas usan «admin», no hay forma de saber quién vio qué.
Contraseñas guardadas solo como hash, segundo factor en el acceso de los administradores y conexiones cifradas con TLS.
Un registro de quién consultó o cambió cada dato, con fecha. Es lo que permite avisar a las personas correctas si hay una fuga.
Respaldos cifrados, fuera del servidor, y una prueba de restauración al mes. Un respaldo que nunca se ha restaurado es una suposición.
Los datos sensibles separados del resto, con permisos más estrechos.
Nada de datos personales en WhatsApp personal, correos personales ni memorias USB. Si el proceso los necesita ahí, el proceso es el problema.
Actualizaciones de seguridad aplicadas. Las dos fallas de PHP de este mes (PHP2Shell) permiten ejecutar comandos en el servidor sin contraseña y leer de la memoria del proceso de PHP contraseñas y tokens de otras peticiones; un sistema sin parchar difícilmente cumple el artículo 18, que obliga a fijar las medidas tomando en cuenta el «desarrollo tecnológico», y si por eso hay una fuga, la vulneración es imputable al responsable (artículo 58, fracción XI).

5. Confidencialidad

La empresa debe tener controles o mecanismos para que todas las personas que intervienen en el tratamiento guarden confidencialidad, obligación que sigue después de que termine la relación (artículo 20). Incumplir ese deber es infracción (artículo 58, fracción VIII).

En el sistema: una cláusula de confidencialidad firmada por el personal y por los proveedores, y bajas de cuentas el mismo día en que alguien deja la empresa.

6. Los proveedores que tratan sus datos

El proveedor que trata datos por cuenta de la empresa es «persona encargada» (artículo 2, fracción XII): el hospedaje, el sistema de nómina en la nube, el CRM, el servicio de correo masivo, la agencia que maneja su publicidad. La empresa sigue siendo responsable de que respeten el aviso (artículo 13), y la relación debe constar en cláusulas contractuales u otro instrumento jurídico que acredite su existencia, alcance y contenido (Reglamento, artículo 51). Mandar datos a un encargado no es una transferencia y no requiere aviso ni consentimiento (Reglamento, artículo 53); transferirlos a un tercero que los usará para sus propios fines sí, salvo las excepciones del artículo 36.

Para servicios en la nube contratados con términos generales, los que se aceptan sin negociar, el Reglamento (artículo 52) solo permite usar los que tengan políticas de protección de datos, transparenten sus subcontrataciones, no se atribuyan la propiedad de la información, guarden confidencialidad, avisen cambios en sus políticas, permitan limitar el tratamiento, mantengan medidas de seguridad, garanticen la supresión al terminar el servicio y la posibilidad de recuperar los datos antes, e impidan el acceso a quien no tenga privilegios o, si una autoridad los pide con una solicitud fundada y motivada, avisen al responsable.

En el sistema: una lista de proveedores con qué datos tiene cada uno, en qué país están y qué dice su contrato o sus términos sobre estos puntos. En las cuentas de esos servicios, el acceso limitado a quien lo necesita.

7. Responder a las personas

Cualquier persona puede pedir acceso a sus datos, rectificarlos, cancelarlos u oponerse a su tratamiento (artículos 21 a 26); la empresa no está obligada a cancelar los que siguen siendo necesarios para un contrato o que una ley le obliga a conservar (artículo 25). La empresa debe designar a una persona o departamento de datos personales que dé trámite a las solicitudes (artículo 29), responder en un plazo máximo de 20 días hábiles y, si procede, hacer efectivo lo pedido en los 15 días siguientes; los plazos se pueden ampliar una vez por un periodo igual (artículo 31). El trámite es gratuito, salvo los costos de reproducción o envío (artículo 34). No atender la solicitud sin razón fundada es la primera infracción de la lista (artículo 58, fracción I); la sanción es un apercibimiento (artículo 59, fracción I), y no cumplirlo ya es otra infracción, con multa (artículo 58, fracción VII).

En el sistema: una forma de encontrar todos los datos de una persona en todos los sistemas y respaldos, exportarlos en un formato legible, corregirlos, bloquearlos y borrarlos. Y un registro de cada solicitud con sus fechas. Lo que no se puede encontrar en 20 días hábiles no se puede entregar.

8. Cuando algo se fuga

Una vulneración es la pérdida o destrucción no autorizada, el robo, extravío o copia no autorizada, el uso, acceso o tratamiento no autorizado, o el daño, alteración o modificación no autorizada de los datos (Reglamento, artículo 63). Si afecta de forma significativa los derechos patrimoniales o morales de las personas, hay que informarles de forma inmediata (artículo 19 de la ley; el Reglamento, en su artículo 64, lo precisa: en cuanto confirme que ocurrió y haya empezado a revisar la magnitud del daño, «y sin dilación alguna»), y decirles al menos qué pasó, qué datos se comprometieron, qué pueden hacer para protegerse, qué se corrigió y dónde informarse (Reglamento, artículo 65). Después, analizar las causas y ajustar las medidas de seguridad para que no se repita (Reglamento, artículo 66).

En el sistema: el registro de accesos del punto 4, porque sin él no se sabe qué datos salieron ni de quién; los correos de contacto de las personas, para poder avisarles; y una hoja con quién decide, a quién se llama y qué se apaga primero. Cuando la fuga viene de un proveedor, avisar a las personas sigue siendo obligación de la empresa; el Reglamento (artículo 50) no obliga al proveedor a avisarle a ella, así que tiene que decirlo el contrato.

Lo que cuesta no hacerlo

El artículo 58 lista 19 infracciones. Entre ellas, omitir elementos del aviso de privacidad (V), incumplir la confidencialidad (VIII), vulnerar la seguridad de bases de datos cuando sea imputable al responsable (XI) y recabar o transferir datos sin el consentimiento expreso cuando este sea exigible (XIII). Las multas del artículo 59 van de 100 a 160,000 veces la Unidad de Medida y Actualización para las infracciones II a VII (entre ellas la V) y de 200 a 320,000 para las infracciones VIII a XVIII (entre ellas la VIII, la XI y la XIII), con una multa adicional de 100 a 320,000 UMA si las infracciones persisten de manera reiterada, y pueden aumentarse hasta el doble cuando se trata de datos sensibles. La UMA de 2026 vale 117.31 pesos, así que los rangos van de 11,731 a 18,769,600 pesos y de 23,462 a 37,539,200. Para fijar el monto, la Secretaría considera, entre otras cosas, la naturaleza del dato, si hubo intención, la capacidad económica del responsable y la reincidencia (artículo 60).

Hay también delitos: de tres meses a tres años de prisión a quien, estando autorizado para tratar datos, provoque una vulneración con ánimo de lucro, y de seis meses a cinco años a quien trate datos mediante engaño para obtener un lucro indebido; las penas se duplican con datos sensibles (artículos 62 a 64).

La Secretaría ya actúa. En su comunicado 001, del 12 de enero de 2026, informó que a partir de más de 20 investigaciones por presuntas vulneraciones de datos detectó que varias soluciones basadas en sistemas de gestión de contenidos de licencia libre con complementos y plantillas genéricas tienen vulnerabilidades fáciles de explotar; el aviso va dirigido a dependencias federales y a particulares. Es un perfil en el que, por lo que vemos en las revisiones, encaja el sitio de muchas empresas pequeñas.

Por dónde empezar

Para una empresa de diez personas, esto se hace en dos semanas:

El inventario, en una tarde. Una tabla con cada sistema o archivo que tenga datos personales (el CRM, la nómina, el correo, la carpeta compartida, el sitio web, las cámaras), qué datos guarda, cuáles son sensibles, quién tiene acceso, qué proveedor lo opera y dónde están sus respaldos. Son las fracciones I y IX del artículo 61 del Reglamento (el inventario y el registro de medios de almacenamiento), y es lo que permite todo lo demás.
El aviso, con su abogado y con el inventario en la mano, para que diga lo que el sistema hace de verdad. La versión simplificada va en cada formulario.
Las cinco medidas técnicas que más faltan: cuentas individuales con permisos, segundo factor para administradores, registro de accesos, respaldos cifrados con prueba de restauración y actualizaciones al día.
Los proveedores: la lista, qué datos tiene cada uno y una cláusula de confidencialidad y tratamiento en cada contrato que no la tenga.
Una persona designada para derechos ARCO, un correo para recibirlos y un procedimiento de una página que diga cómo se busca, exporta, corrige y borra lo de una persona en cada sistema del inventario.

Qué hacemos en Noxcom y qué no

Hacemos la parte técnica: el inventario, la revisión de medidas de seguridad con evidencia por hallazgo, el procedimiento técnico para derechos ARCO y la lista de proveedores con lo que tiene cada uno. Interpretar la ley, redactar el aviso y los contratos es trabajo jurídico: lo hace su área legal o su abogado, y nosotros le damos los hechos que necesita. Si todavía no tiene quien lleve esa parte, conviene resolverlo antes.