Tu sistema guarda datos de clientes o empleados: qué te pide la ley de protección de datos de 2025
Por el equipo de Stonework · Actualizada el · 7 min de lectura · English version
Respuesta corta
Si tu negocio guarda datos personales de clientes o empleados, ante la ley de 2025 tú eres el responsable; el proveedor que opera tu sistema es la persona encargada, que los trata por cuenta tuya (art. 2). Te toca dar un aviso de privacidad, mantener medidas de seguridad, avisar de inmediato a las personas afectadas por una vulneración y contestar sus solicitudes en 20 días hábiles (arts. 15 a 19 y 31). Las multas van de 100 a 320,000 UMA, entre $11,731 y $37,539,200 en 2026, y pueden aumentar hasta dos veces si hay datos sensibles como los de salud (art. 59).
Quién aplica la ley desde 2025
La Ley Federal de Protección de Datos Personales en Posesión de los Particulares se publicó como ley nueva en el DOF el 20 de marzo de 2025 y abrogó la de 2010. Su última reforma es del 14 de noviembre de 2025.
Los asuntos de datos personales que llevaba el INAI pasaron a la Secretaría Anticorrupción y Buen Gobierno (art. 2, fr. XV, y transitorio décimo). Ella verifica que se cumpla la ley, resuelve los procedimientos e impone las multas (art. 39).
En enero de 2026 la Secretaría informó que había abierto 20 investigaciones por posibles vulneraciones de datos personales en dependencias públicas y particulares.
Tú eres el responsable; tu proveedor, el encargado
La ley cubre cualquier tratamiento de datos, por procedimientos manuales o automatizados (art. 2, fr. XIX). Da igual si hoy los guardas en un sistema, en Excel o en papel.
| Figura | Quién es en tu caso | Qué dice la ley |
|---|---|---|
| Persona titular | Tu cliente, tu paciente, tu empleado | La persona a quien corresponden los datos (art. 2, fr. XVIII) |
| Responsable | Tu negocio | Persona física o moral privada que trata datos personales (art. 2, fr. XIV y XVI) |
| Persona encargada | El proveedor que desarrolla, aloja u opera tu sistema | Trata datos personales "por cuenta del responsable" (art. 2, fr. XII) |
La responsabilidad no se delega. Debes velar por que tu aviso de privacidad se respete también por los terceros con los que tengas una relación jurídica (art. 13). Y todos los que intervienen guardan confidencialidad, aun después de terminar la relación (art. 20).
La ley no exige un contrato específico con el encargado. Ponlo por escrito igual: que use los datos solo para tu sistema, con qué medidas los protege, que te avise de una vulneración y que al terminar te los entregue y los borre.
Las cláusulas están en contrato de desarrollo de software.
Qué te pide la ley, obligación por obligación
| Obligación | Artículo | Qué significa en la práctica |
|---|---|---|
| Aviso de privacidad | 15 y 16 | Seis elementos mínimos: quién eres y tu domicilio, qué datos tratas y cuáles son sensibles, para qué, cómo limitar su uso, cómo ejercer los derechos ARCO y cómo avisarás de cambios. Si recabas datos por medios electrónicos, das una versión simplificada que dice dónde consultar el aviso completo |
| Consentimiento para datos sensibles | 8 | Expreso y por escrito, con firma autógrafa, firma electrónica u otro mecanismo de autenticación. El estado de salud, el origen étnico, las creencias y la preferencia sexual son datos sensibles (art. 2, fr. VI) |
| Medidas de seguridad | 18 | Administrativas, técnicas y físicas, según el riesgo, y nunca menores a las que usas para tu propia información |
| Aviso de vulneraciones | 19 | Si una vulneración afecta de forma significativa los derechos patrimoniales o morales de las personas, les avisas de inmediato |
| Confidencialidad | 20 | Para todos los que tratan los datos, también después de terminar la relación |
| Derechos ARCO | 21 a 26 y 29 | Acceso, rectificación, cancelación y oposición. Designas a una persona o un área que atienda las solicitudes |
Los plazos de los derechos ARCO
ARCO son las iniciales de los cuatro derechos que cualquier persona puede ejercer sobre sus datos: acceso, rectificación, cancelación y oposición. Para la ley, los días son hábiles (art. 2, fr. VIII).
- Tienes 20 días, desde que recibes la solicitud, para comunicar tu respuesta (art. 31).
- Si procede, la haces efectiva dentro de los 15 días siguientes a esa respuesta (art. 31).
- Los plazos se pueden ampliar una sola vez, por un periodo igual, si las circunstancias lo justifican (art. 31).
- Es gratuito. Solo puedes cobrar reproducción, copias o envío; si la misma persona repite la solicitud en menos de doce meses, el cobro no pasa de tres UMA, $351.93 en 2026 (art. 34).
Cancelar no es borrar de inmediato. Primero bloqueas los datos: los conservas sin usarlos durante el plazo de prescripción, y después los suprimes (art. 24). Hay casos en que no procede, como una obligación legal o un contrato con esa persona (art. 25).
Lo que tu sistema debe permitir
La ley no menciona funciones de software. Esta tabla traduce cada obligación a lo que necesitas para atenderla sin buscar a mano en diez archivos.
| Para atender | Tu sistema debe permitir |
|---|---|
| Acceso (art. 22) | Exportar en un archivo todo lo que guarda de una persona: registros, notas y adjuntos |
| Rectificación (art. 23) | Corregir datos y dejar registro de quién los cambió y cuándo |
| Cancelación (art. 24) | Bloquear los datos de una persona para que nadie los use y, al vencer el plazo, borrarlos |
| Oposición (art. 26) | Excluir a una persona de un uso concreto, como los avisos de promociones |
| Aviso de privacidad (art. 16) | Mostrar el aviso simplificado donde se capturan los datos, con enlace al completo, y guardar qué versión aceptó cada persona |
| Datos sensibles (art. 8) | Guardar la constancia del consentimiento expreso de cada persona |
| Seguridad (art. 18) | Permisos por rol, bitácora de accesos, cifrado y respaldos que se prueban |
| Vulneraciones (art. 19) | Saber a qué personas afectó un incidente para poder avisarles |
| Plazos (art. 31) | Registrar cada solicitud con su fecha de recepción |
La bitácora de accesos registra quién vio o cambió qué y cuándo. La ley no la nombra, pero sin ella es muy difícil saber a quién avisar después de una vulneración.
Pregúntale a tu proveedor cuánto tiempo guarda los respaldos. Un dato que borraste puede seguir en una copia de seguridad semanas después. Lo mínimo en seguridad está en la seguridad mínima de un sistema.
Cuánto cuestan las multas en 2026
Las multas se fijan en UMA. En 2026 una UMA vale $117.31 diarios, vigente desde el 1 de febrero, según el INEGI.
| Infracción (art. 58) | Ejemplos | Multa (art. 59) | En pesos de 2026 |
|---|---|---|---|
| Fracción I | No atender una solicitud ARCO sin razón fundada | Apercibimiento | Sin multa; desobedecer el apercibimiento sí se multa (fr. VII) |
| Fracciones II a VII | Negligencia con las solicitudes, aviso de privacidad incompleto, datos inexactos sin corregir | 100 a 160,000 UMA | $11,731 a $18,769,600 |
| Fracciones VIII a XVIII | Romper la confidencialidad, una vulneración de seguridad imputable a ti, recabar datos sensibles sin consentimiento expreso | 200 a 320,000 UMA | $23,462 a $37,539,200 |
| Fracción IV del art. 59 | Que las infracciones anteriores persistan de manera reiterada | Multa adicional de 100 a 320,000 UMA | $11,731 a $37,539,200 más |
Con datos sensibles, los montos pueden incrementarse hasta dos veces (art. 59). Para fijar la multa, la Secretaría toma en cuenta la naturaleza de los datos, si hubo intención, tu capacidad económica y la reincidencia (art. 60).
Además hay delitos. Quien está autorizado para tratar datos y, con ánimo de lucro, provoca una vulneración de las bases que custodia puede recibir de tres meses a tres años de prisión (art. 62). Con datos sensibles, la pena se duplica (art. 64).
Cuándo no necesitas un sistema nuevo para esto
La ley no te pide un sistema. Si usas un programa comercial que ya permite exportar y borrar los datos de una persona, lo que te falta probablemente no es software: es el aviso de privacidad, alguien que atienda las solicitudes y un contrato con tu proveedor.
Conviene construir o ajustar un sistema cuando los datos de una persona están regados en Excel, WhatsApp y carpetas, y contestar una solicitud de acceso te tomaría días. Si tienes una clínica, revisa también qué pide la NOM 024.
Preguntas frecuentes
- ¿Necesito aviso de privacidad si solo guardo nombre y teléfono?
- Sí. Cualquier información de una persona identificada o identificable es un dato personal (art. 2, fr. V), y el aviso se pone a su disposición desde que recabas sus datos (art. 2, fr. I, y art. 16).
- ¿Quién responde si hackean a mi proveedor?
- Ante las personas afectadas, el responsable eres tú: te toca avisarles de inmediato (art. 19). Si la vulneración te resulta imputable, la multa puede llegar a 320,000 UMA (arts. 58 y 59), por eso el contrato debe decir qué medidas toma tu proveedor.
- ¿Tengo que borrar los datos si un cliente me lo pide?
- Primero los bloqueas durante el plazo de prescripción y después los suprimes (art. 24). No procede, por ejemplo, si los necesitas para cumplir una obligación legal o un contrato con esa persona (art. 25).
- ¿Sigue existiendo el INAI para las empresas?
- No. Los procedimientos de datos personales pasaron a la Secretaría Anticorrupción y Buen Gobierno, que verifica e impone las multas (art. 39 y transitorio décimo).
Fuentes
- Ley Federal de Protección de Datos Personales en Posesión de los Particulares (DOF 20 de marzo de 2025, última reforma 14 de noviembre de 2025). Cámara de Diputados.
- Unidad de Medida y Actualización 2026, comunicado de prensa 1/26. INEGI, 8 de enero de 2026.
- Secretaría Anticorrupción confirma 20 investigaciones por la vulneración de datos personales en dependencias y particulares. Latinus, 12 de enero de 2026.
Aviso. Esta guía explica la ley en términos generales con base en los textos vigentes que se citan. No es asesoría legal ni fiscal y no sustituye a un abogado o a un contador que conozca tu caso.
Cómo hacemos estas guías. Cada cifra lleva su fuente y su fecha; lo que no tiene fuente no entra, y los ejemplos ilustrativos se dicen como tales. Las revisamos antes de publicarlas, cada tres meses y cuando cambia algo que citan.
Cuándo se revisa esta guía. Cuando se publique el reglamento de la ley de 2025 o lineamientos de la Secretaría Anticorrupción y Buen Gobierno, cuando el INEGI publique la UMA de 2027 o cuando se reforme la ley.
Quién la escribe. El equipo de Stonework, un estudio de software en Ciudad de México que construye y opera EventQR, CuentaFácil y Conto, y hace software a la medida para negocios.