O marco legal
A norma vigente no México é a Lei Federal de Proteção de Dados Pessoais em Posse de Particulares (LFPDPPP 2025), aplicada pela Secretaria de Anticorrupção e Boa Governança.
A postura é híbrida. Aviso e limitação de finalidade regem a coleta, e o consentimento fica reservado para casos sensíveis, o que torna o marketing próprio (first-party) mais viável aqui do que em mercados de opt-in estrito.
Principais instrumentos
LFPDPPP 2025
Substitui a lei federal de 2010. Preserva os direitos ARCO (acesso, retificação, cancelamento, oposição), os deveres de aviso de privacidade, o consentimento tácito para dados não sensíveis e as obrigações de segurança; atualiza definições e transfere a aplicação da lei para a SABG, com revisão por meio de amparo perante tribunais especializados.
Marketing e publicidade
O consentimento tácito funciona para dados não sensíveis, de modo que uma empresa pode fornecer o aviso de privacidade e prosseguir, a menos que a pessoa se oponha. Consentimento expresso para dados financeiros, expresso e por escrito para dados sensíveis. Trate a nota de consentimento acima como a regra de planejamento; a linha de penalidades abaixo mostra quanto custa errar essa avaliação.
Transferências internacionais
Baseadas em aviso para muitas transferências, com gatilhos de consentimento para outras; transferências dentro de grupos econômicos e para operadores foram facilitadas.
Fiscalização e sanções
Multas de 100 a 320.000 UMA (na casa dos milhões de dólares), dobradas para dados sensíveis, além de exposição criminal; em julho de 2026, a SABG multou a Federação Mexicana de Futebol em MXN 42,8 mi por dados biométricos em seu programa FAN ID.