El marco normativo
La norma vigente en México es la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP 2025), aplicada por la Secretaría Anticorrupción y Buen Gobierno.
La postura es híbrida. El aviso y la limitación de la finalidad rigen la recopilación, y el consentimiento se reserva para los casos sensibles, lo que hace que el marketing con datos propios sea más viable aquí que en los mercados de opt-in estricto.
Instrumentos clave
LFPDPPP 2025
Sustituye a la ley federal de 2010. Conserva los derechos ARCO (acceso, rectificación, cancelación y oposición), las obligaciones de aviso de privacidad, el consentimiento tácito para datos no sensibles y las obligaciones de seguridad; actualiza definiciones y traslada la aplicación de la ley a la SABG, con revisión mediante amparo ante tribunales especializados.
Marketing y publicidad
El consentimiento tácito funciona para datos no sensibles, de modo que una empresa puede entregar el aviso de privacidad y continuar, salvo que la persona se oponga. Se requiere consentimiento expreso para datos financieros, y expreso y por escrito para datos sensibles. Trate la nota de consentimiento anterior como la regla de planificación; la línea de sanciones que sigue es lo que cuesta calcularla mal.
Transferencias internacionales
Basado en aviso para muchas transferencias, con activadores de consentimiento para otras; se flexibilizaron las transferencias dentro de grupos empresariales y hacia encargados del tratamiento.
Aplicación y sanciones
Multas de 100 a 320.000 UMA (cifra que asciende a varios millones de dólares), duplicadas para datos sensibles, más responsabilidad penal; en julio de 2026 la SABG multó a la Federación Mexicana de Fútbol con MXN 42,8 millones por los datos biométricos de su programa FAN ID.