Dato sensibleD-04
Ejemplo
Diagnósticos de pacientes en un respaldo sin cifrar
El aviso de privacidad no los identifica como sensibles (artículo 15, fracción II).
- Dónde están
- Base y respaldo diario
- Cuentas con acceso
- 6
Servicio · Cumplimiento
Cumplimiento normativo
Documentamos qué datos personales trata su sistema, dónde están y cómo se protegen. Es la parte técnica de la LFPDPPP; la jurídica la lleva su área legal o su abogado.
Firmamos el acuerdo de confidencialidad antes de revisar cualquier dato.
Para quién es
Cuándo conviene esta revisión
Su aviso de privacidad no coincide con el sistema
El artículo 15 pide listar los datos que trata e identificar los sensibles. Si el sistema recaba otros, el aviso se queda corto.
Trata datos de salud o financieros
El artículo 18 pide tomar en cuenta la sensibilidad de los datos al decidir cómo protegerlos.
Sufrió una vulneración de seguridad
Si afecta de forma significativa los derechos patrimoniales o morales de las personas titulares, el artículo 19 le obliga a informarles de inmediato. Para avisar, primero hay que saber qué datos quedaron expuestos.
Le llegó una solicitud ARCO
Tiene veinte días hábiles para comunicar su respuesta (artículo 31). Encontrar todos los datos de esa persona en sus sistemas es la parte técnica.
Qué revisamos
La parte técnica de la ley
Cada punto se entrega por escrito, para que su área legal lo use en el aviso de privacidad y en los contratos con proveedores.
- Inventario de los datos personales de cada sistema, comparado con lo que dice su aviso de privacidad
- Dónde están: bases de datos, respaldos, archivos y servicios externos
- Medidas de seguridad técnicas (artículo 18): cifrado, cuentas y permisos, contraseñas y registros de acceso
- Lo que su sitio expone a internet, revisado con nuestra herramienta de auditoría
- Cómo localizar, rectificar, bloquear o suprimir los datos de una persona para atender derechos ARCO
- Proveedores que tratan datos por cuenta suya, a los que la ley llama personas encargadas
Cómo trabajamos
Su área legal participa desde el principio
Trabajamos sobre el texto vigente de la LFPDPPP, publicada en el Diario Oficial de la Federación el 20 de marzo de 2025.
- 01
Alcance y confidencialidad
Definimos qué sistemas entran y quién de su área legal participa. Firmamos el acuerdo de confidencialidad y la carta de autorización, que deja por escrito a qué sistemas y cuentas entramos.
- 02
Inventario
Recorremos la base de datos y la configuración de cada proveedor para listar qué datos personales hay y dónde están.
- 03
Medidas de seguridad
Comprobamos cómo se protegen hoy esos datos y anotamos cada hallazgo con su evidencia y su severidad.
- 04
Entrega a su área legal
Repasamos el inventario con su área legal o su abogado. Si usted lo decide, corregimos lo técnico o acompañamos a su equipo o a su proveedor actual.
Qué recibe
Documentos para su área legal y su equipo técnico
Su área legal los usa en el aviso de privacidad y en los contratos; su equipo técnico, para corregir.
Inventario de datos personales
Qué datos trata cada sistema, cuáles son sensibles, dónde se guardan y qué proveedores los tratan.
Informe de medidas técnicas
Cómo se protegen hoy los datos y qué falta, con evidencia por hallazgo.
Plan de corrección
Ordenado por el daño que cada hallazgo podría causar a las personas titulares.
Procedimiento técnico ARCO
Los pasos para encontrar los datos de una persona en sus sistemas y rectificarlos, bloquearlos o suprimirlos.
Sesión con su área legal
Repasamos el inventario y el informe de medidas técnicas con su área legal o su abogado.
Sobre la parte legal
Noxcom no es un despacho de abogados
La LFPDPPP obliga a quien trata datos personales a mantener medidas de seguridad administrativas, técnicas y físicas (artículo 18) y a informar en su aviso de privacidad qué datos trata (artículo 15). Interpretar la ley y redactar el aviso o los contratos con proveedores es trabajo jurídico: lo hace su área legal o su abogado. Nosotros aportamos los hechos técnicos que ese trabajo necesita. Si todavía no tiene quien lleve la parte jurídica, conviene resolverlo antes de contratarnos.
Preguntas
Sobre el cumplimiento de la LFPDPPP
Si tiene otra pregunta, escríbanos.
¿Me obliga ya la Ley de Ciberseguridad?
No. Hasta septiembre de 2026 no se había publicado en el Diario Oficial de la Federación ninguna Ley de Ciberseguridad, y las que hay en el Senado son iniciativas sin votar. En datos personales, la obligación vigente es la LFPDPPP. Si se publica una, revisaremos con su área legal qué le aplica a partir del texto aprobado.
¿Qué autoridad vigila la LFPDPPP?
La Secretaría Anticorrupción y Buen Gobierno, desde que se extinguió el INAI. Puede verificar el cumplimiento y multar: vulnerar la seguridad de bases de datos por causa imputable al responsable se sanciona con multa de 200 a 320,000 veces la Unidad de Medida y Actualización (artículos 58 y 59).
¿Cuánto tiempo tengo para responder una solicitud ARCO?
Veinte días hábiles para comunicar la respuesta y, si procede, quince más para hacerla efectiva. Los dos plazos se pueden ampliar una vez por un periodo igual cuando el caso lo justifique (artículo 31).
¿Necesitan entrar a mis sistemas?
Sí, con las cuentas y los permisos que usted autorice por escrito y con el acuerdo de confidencialidad firmado. Revisamos dónde y cómo se guardan los datos; no copiamos datos personales a nuestros equipos.
¿Y si un proveedor trata los datos por mí?
La ley lo llama persona encargada: quien trata datos por cuenta del responsable (artículo 2, fracción XII). El artículo 13 le pide velar por que esos terceros respeten su aviso de privacidad. Le decimos qué proveedores tienen qué datos; su área legal decide qué debe decir cada contrato.
Contacto
Escríbanos con su área legal en copia
Cuéntenos qué sistemas tiene y le proponemos un alcance.