¿Qué es la Nueva LFPDPPP y Por Qué Reemplaza a la Ley de 2010?

La nueva LFPDPPP (Ley Federal de Protección de Datos Personales en Posesión de los Particulares) es la ley que, desde el 21 de marzo de 2025, sustituye por completo a la versión vigente desde 2010. No se trata de una simple actualización de forma: cambia quién vigila el cumplimiento, qué autoridad sanciona y cómo debe documentarse la vida completa de un dato personal, incluida su destrucción.

Para cualquier empresa en CDMX o Estado de México que trate nóminas, expedientes de clientes, contratos o bases de prospectos, esto no es un tema exclusivo del área legal: afecta directamente cómo debe manejarse el archivo muerto, los discos duros retirados y el papel confidencial que sale de la oficina.

De la LFPDPPP 2010 a la reforma de 2025: qué se mantiene y qué cambia

El decreto que crea la nueva ley se publicó en el Diario Oficial de la Federación el 20 de marzo de 2025 y entró en vigor al día siguiente^[1]. La estructura general —principios de licitud, consentimiento, derechos ARCO— se conserva, pero se modifican definiciones clave como “tratamiento” y “responsable”, ampliando el universo de sujetos obligados para incluir explícitamente a los encargados del tratamiento^[2].

Por qué importa en 2026

Un año y medio después de la reforma, muchas empresas siguen operando con avisos de privacidad, contratos y políticas de destrucción documental que citan al INAI como autoridad vigente. Cada mención desactualizada es una señal de incumplimiento fácil de detectar en una verificación de la nueva Secretaría.

La Desaparición del INAI y la Nueva Autoridad: SABG

El cambio institucional más relevante de la reforma es la desaparición del Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales. Sus funciones de supervisión, regulación y sanción en materia de datos personales —tanto en el sector público como en el privado— pasaron a la Secretaría Anticorrupción y Buen Gobierno (SABG), una dependencia directa del Poder Ejecutivo Federal^[3].

Qué es la SABG y qué puede hacer

A diferencia del INAI, que era un órgano autónomo colegiado, la SABG depende del Ejecutivo. Concentra facultades de investigación, verificación y sanción, y sus resoluciones pueden impugnarse mediante juicio de amparo indirecto ante juzgados especializados^[4]. Este cambio institucional generó cuestionamientos sobre la imparcialidad en la resolución de controversias, dado que ya no hay un órgano autónomo mediando entre gobierno y particulares.

Qué pasa con los procedimientos que ya estaban abiertos

Si tu empresa tenía un procedimiento en curso ante el INAI antes del 21 de marzo de 2025, éste continúa bajo las reglas de la ley anterior, pero ahora lo atiende la SABG en lugar del extinto instituto^[5].

Para tu empresa, en la práctica: cualquier trámite, denuncia o solicitud de derechos ARCO que antes se dirigía al INAI, hoy se dirige a la SABG.

El Reglamento de la LFPDPPP Sigue Pendiente: Qué Hacer Mientras Tanto

El artículo transitorio décimo segundo del decreto de reforma estableció que el Ejecutivo Federal tenía 90 días naturales desde la entrada en vigor de la ley para publicar las adecuaciones reglamentarias correspondientes^[6]. Ese plazo venció hace más de un año. A julio de 2026, el reglamento actualizado de la LFPDPPP sigue sin publicarse.

Qué establece la ley aunque el reglamento no esté publicado

La ausencia de un reglamento actualizado no suspende tus obligaciones. El texto vigente de la LFPDPPP ya es suficientemente claro sobre los deberes centrales: consentimiento, aviso de privacidad, medidas de seguridad y supresión de datos que ya no son necesarios. Mientras no se publique el nuevo reglamento, el de 2011 sigue aplicando de forma supletoria en todo lo que no contradiga a la nueva ley.

Riesgos de esperar al reglamento para actuar

• Falsa sensación de tregua: la SABG ya tiene facultades de verificación y sanción desde marzo de 2025, con o sin reglamento nuevo.
• Acumulación de deuda de cumplimiento: entre más tiempo pase sin actualizar avisos de privacidad y políticas de destrucción, más grande el ajuste cuando el reglamento finalmente se publique.
• Riesgo reputacional inmediato: una vulneración de datos hoy se sanciona con la ley vigente, no con la que “está por venir”.

Qué Cambia Específicamente para la Destrucción y Supresión de Datos Personales

Este es el punto que más debería importarle a cualquier empresa con archivo muerto, equipos de cómputo retirados o papel confidencial: la reforma formaliza el concepto de “plazo de conservación”. Los datos personales solo deben suprimirse después de cumplir ese plazo y de haber sido bloqueados previamente, cuando ya no son necesarios para la finalidad que motivó su tratamiento.

Bloqueo, supresión y destrucción: la diferencia que la ley exige entender

La reforma precisa el alcance del derecho de cancelación: ahora abarca expresamente archivos, registros, expedientes y sistemas del responsable donde se alojen los datos personales^[7]. No basta con “dar de baja” un registro en pantalla.

• Bloqueo: etapa intermedia que impide el uso de los datos, sin eliminarlos todavía.
• Supresión: eliminación definitiva tras el bloqueo y el cumplimiento del plazo de conservación.
• Destrucción: el caso extremo de la supresión — inutilizar físicamente el soporte (papel, disco duro, servidor) para que el contenido sea irrecuperable.

Confidencialidad reforzada, también después de la relación laboral o comercial

La nueva ley obliga al responsable a establecer controles para que todas las personas que intervengan en el tratamiento —empleados, encargados, terceros— mantengan la confidencialidad de los datos incluso después de terminada la relación jurídica^[8]. Esto incluye al proveedor que destruye tus documentos: su obligación de confidencialidad no termina cuando termina el contrato.

En la práctica, esto refuerza algo que en Sharkit ya veníamos aplicando en destrucción de documentos confidenciales y en borrado seguro de equipos IT bajo NIST 800-88: la destrucción certificada, con evidencia por lote o número de serie, es la forma más simple de acreditar que la supresión ocurrió conforme a la ley.

Sanciones y Riesgo Real para tu Empresa Bajo la Nueva Ley

La reforma sustituyó la referencia a días de salario mínimo por Unidades de Medida y Actualización (UMA) para calcular las multas^[9]. El esquema de sanciones se mantiene, pero conviene ver los números en contexto actual.

Multas en UMA: de cuánto estamos hablando

Montos de referencia según el valor de la UMA vigente; consulta siempre la cifra actualizada antes de tomar decisiones^[10].

Casos y contexto de sanciones documentadas

Ya existen casos documentados en México de multas por más de 60 millones de pesos por incumplimientos graves relacionados con avisos de privacidad deficientes, medidas de seguridad insuficientes o uso indebido de datos sensibles^[11]. Estos precedentes son anteriores a la reforma, pero muestran que la autoridad —antes INAI, hoy SABG— sí impone sanciones de magnitud real.

Lo que Dicen los Expertos sobre el Cumplimiento LFPDPPP en 2026

Consenso en la industria legal mexicana

Los despachos que han analizado la reforma coinciden en un punto: el cambio de fondo no está tanto en las obligaciones sustantivas de las empresas —que se mantienen en su mayoría— sino en la arquitectura institucional que las vigila^[3].

La eliminación de un órgano autónomo como el INAI y su reemplazo por una dependencia del Ejecutivo plantea cuestionamientos legítimos sobre la imparcialidad en la resolución de controversias en materia de datos personales. — Análisis de firmas de derecho corporativo mexicanas, 2025

Investigación reciente y hallazgos del sector

• Consultoras especializadas en 2026 reportan que la adopción de IA generativa en procesos de negocio está generando nuevos riesgos de cumplimiento bajo la LFPDPPP, particularmente en el reúso de datos históricos para entrenar modelos sin haber informado ese fin en el aviso de privacidad original^[12].
• Firmas legales señalan que el rol de la Secretaría de Economía en la supervisión del sector privado se redujo, desplazando parte de la responsabilidad hacia esquemas de autorregulación vinculante^[2].
• El consenso de despachos como Greenberg Traurig y Littler es que, aunque la reforma no cambia sustancialmente las obligaciones diarias, sí exige una revisión documental completa: avisos de privacidad, contratos con encargados y políticas internas de retención y destrucción^[2][4].

Perspectivas divergentes

No todo el análisis es positivo. Varios despachos advierten que la reducción del papel de las autoridades reguladoras especializadas, sustituido por un enfoque de autorregulación más flexible pero menos estructurado, podría debilitar —no fortalecer— la protección efectiva de los titulares de datos personales^[13].

Es importante notar que este artículo resume el consenso legal disponible a julio de 2026; la ausencia de reglamento y de criterios operativos de la SABG significa que varios puntos —plazos exactos de respuesta a solicitudes ARCO, formatos oficiales— podrían aclararse o modificarse cuando finalmente se publique la reglamentación pendiente.

Tendencias 2026 en Protección y Destrucción de Datos Personales en México

• IA generativa bajo la lupa: el uso de datos históricos para entrenar modelos internos se está convirtiendo en el foco de atención de compliance en 2026, especialmente cuando ese uso no estaba contemplado en el aviso de privacidad original^[12].
• Auditorías de privacidad periódicas como estándar: las firmas recomiendan calendarizar auditorías legal-técnicas con participación de asesores externos, en lugar de revisiones reactivas ante una notificación de la SABG^[12].
• Presión regulatoria secundaria en otros marcos conexos: leyes relacionadas, como la LFPIORPI, ya muestran movimiento en sus reglamentos en 2026, lo que sugiere que el reglamento de la LFPDPPP podría publicarse en cualquier momento^[14].
• Destrucción certificada como estándar de facto: ante la falta de reglamento, la certificación por lote y número de serie se está consolidando como la evidencia práctica que las empresas usan para acreditar cumplimiento.

Cómo Cumplir Hoy con la LFPDPPP al Destruir Documentos y Equipos

Implementación completa: 2-4 semanas para una revisión integral de aviso de privacidad, contratos con encargados y política de destrucción.

Pasos principales

1. Audita tu aviso de privacidad: elimina toda mención al INAI y sustitúyela por la Secretaría Anticorrupción y Buen Gobierno.
2. Define tus plazos de conservación por tipo de dato: nómina, expedientes de clientes, prospectos — cada categoría necesita su propio plazo documentado.
3. Clasifica tu archivo muerto: separa lo que aún está dentro del plazo de conservación de lo que ya debe suprimirse o destruirse.
4. Revisa contratos con encargados y proveedores: confirma que incluyen la obligación de confidencialidad post-contractual que exige la nueva ley.
5. Contrata destrucción certificada, no solo borrado: exige certificado con número de lote o serie, método aplicado y fecha, tanto para papel como para equipos de cómputo.
6. Documenta el proceso completo: guarda la cadena de custodia desde la recolección hasta el certificado final — es tu evidencia ante cualquier verificación de la SABG.

Tips de experto

• No esperes al reglamento para actuar: la ley ya es exigible desde marzo de 2025, con o sin reglamento nuevo.
• Trata el bloqueo, la supresión y la destrucción como tres pasos distintos en tu política interna, no como sinónimos.
• Prioriza primero el archivo muerto y los equipos IT retirados: son el punto donde más empresas acumulan datos personales sin plazo de conservación definido.

Errores comunes a evitar

❌ Error: Esperar la publicación del reglamento para actualizar el aviso de privacidad → ✅ Solución: actualízalo ahora con base en la ley vigente; ajústalo de nuevo cuando salga el reglamento.

❌ Error: Formatear discos duros y considerarlo “destrucción de datos” → ✅ Solución: formatear no borra los datos físicamente; se requiere sobrescritura verificable (NIST 800-88) o destrucción física certificada.

❌ Error: Guardar archivo muerto indefinidamente “por si acaso” → ✅ Solución: define plazos de conservación por tipo de documento y destruye de forma certificada al vencerlos.

Preguntas Frecuentes sobre la Nueva LFPDPPP

¿Tienes más preguntas? Déjalas en comentarios.

Conclusión

La reforma a la LFPDPPP no cambió de fondo lo que tu empresa debe hacer con los datos personales que ya no necesita: suprimirlos o destruirlos de forma certificada. Lo que cambió es quién vigila que lo hagas —la SABG en lugar del INAI— y el hecho de que el marco reglamentario que debía aclarar los detalles operativos sigue, más de un año después, sin publicarse.

En resumen:

• El INAI desapareció: la SABG asume sus funciones desde el 21 de marzo de 2025.
• El reglamento sigue pendiente: no es excusa para retrasar el cumplimiento de la ley vigente.
• El plazo de conservación es ahora explícito: define el tuyo por tipo de documento.
• La confidencialidad se extiende más allá del contrato: exígela también a tu proveedor de destrucción.
• Las sanciones son reales: hasta 320,000 UMA en casos agravados.

¿Qué viene en 2026?

Es previsible que el reglamento se publique en algún momento de este año, siguiendo el patrón que ya se observó con otras leyes conexas como la LFPIORPI, cuyo reglamento avanzó en marzo de 2026 tras años de rezago. Cuando eso ocurra, es probable que se precisen plazos exactos de respuesta a solicitudes ARCO y formatos oficiales para la Secretaría. Mientras tanto, la presión regulatoria sobre el uso de IA generativa con datos personales seguirá creciendo como uno de los focos de atención más activos del sector.

Tu Siguiente Paso

Empieza hoy: 1. Audita tu aviso de privacidad y elimina referencias al INAI. 2. Clasifica tu archivo muerto y equipos retirados por plazo de conservación. 3. Contrata destrucción certificada con evidencia auditable para lo que ya debe eliminarse.

¿Te sirvió este artículo? Compártelo con tu equipo de compliance o cuéntanos en comentarios qué duda tienes sobre la reforma.

Profundiza en Estos Temas

Para profundizar en temas relacionados, te recomendamos:

• Destrucción de Documentos Confidenciales en CDMX: cómo aplicar el deber de supresión documental que exige la nueva ley.
• Eliminación Segura de Datos en Equipos TI (NIST 800-88): el estándar que certifica que un disco duro fue sanitizado, no solo formateado.
• Certificado de Destrucción DIN 66399: la evidencia auditable que exige cualquier verificación de la SABG.
• Archivo Muerto Empresarial: Activo de Cumplimiento: cómo clasificar tu archivo muerto por plazo de conservación.
• Borrado Seguro vs. Destrucción Física de Discos Duros: cuándo usar cada método según la sensibilidad del dato.

Estos artículos forman parte de nuestra serie completa sobre cumplimiento normativo y destrucción certificada en México.

Referencias y Fuentes

1. Cámara de Diputados. (2025). Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Diario Oficial de la Federación. diputados.gob.mx
2. Greenberg Traurig LLP. (2025). Nueva Ley General de Protección de Datos Personales en Posesión de los Particulares. gtlaw.com
3. Ritch Mueller. (2025). Newsflash — Reforma en Transparencia y Protección de Datos: Impacto y Consideraciones Clave. ritch.com.mx
4. Littler. (2025). México Tiene Nueva Ley en Materia de Protección de Datos Personales. littler.com
5. EY México. (2025). Entrada en Vigor de la Nueva Ley Federal de Protección de Datos Personales. ey.com
6. Cacheaux, Cavazos & Newton (CCN Law). (2025). Decreto de Reforma en Materia de Transparencia, Acceso a la Información Pública y Protección de Datos Personales. ccn-law.com
7. Basham, Ringe y Correa. (2025). Nueva Ley Federal de Protección de Datos Personales Publicada en el DOF. basham.com.mx
8. Rematech de México. (2026). Borrar Datos de un Disco Duro de Empresa: Por Qué Formatear No Borra los Datos. empresas.rematech.mx
9. SAE&CIA. (2025). Nueva Ley Federal: Protección de Datos Personales en Posesión de los Particulares. sae-cia.com
10. ResGuard Solutions. (2025). Guía de la LFPDPPP: Protección de Datos en México. resguard-solutions.com
11. Davara Abogados, S.C. (2025). Entra en Vigor las Nuevas Leyes en Materia de Protección de Datos Personales. davara.com.mx
12. Executrain México. (2026). La Nueva LFPDPPP en 2026: Lo Que tu Empresa Debe Cambiar Hoy Mismo. executrain.com.mx
13. KPMG México. (2026). Flash — Decreto de Reforma al Reglamento de la LFPIORPI. kpmg.com/mx

Sobre el Autor

Equipo Sharkit es el equipo de especialistas en destrucción certificada de Sharkit, empresa mexicana con certificaciones ISO 9001, ISO 14001 e ISO 45001. Ha trabajado con clientes corporativos como BBVA, Accenture y Kimberly-Clark, ayudándoles a cerrar el ciclo de vida de sus datos personales de forma certificada y trazable. Su expertise incluye destrucción documental confidencial, borrado seguro bajo NIST 800-88, destrucción fiscal ante el SAT y gestión de archivo muerto empresarial. El equipo participa activamente en la actualización de contenido normativo del sitio para reflejar los cambios legales vigentes en México. En este artículo comparte el análisis de cumplimiento que aplica día a día en sus servicios de destrucción certificada en CDMX y Estado de México.

Conecta con Sharkit: sharkit.mx/contacto