La ley de datos personales cambió en 2025. Su Reglamento no.

Este documento expone qué está en vigor hoy, dónde están las inconsistencias y cómo verificarlas en la fuente. No es asesoría jurídica: es la cita, la fecha y la liga para que cualquiera lo compruebe.

1. Qué está en vigor

La ley. La LFPDPPP vigente se publicó en el Diario Oficial de la Federación el 20 de marzo de 2025, con última reforma publicada el 14 de noviembre de 2025. Su transitorio Primero dispone que entró en vigor "al día siguiente de su publicación", es decir el 21 de marzo de 2025.

La abrogación. El transitorio Segundo es explícito:

"A la entrada en vigor del presente Decreto se abrogan las disposiciones siguientes: I. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el Diario Oficial de la Federación el 5 de julio de 2010".

El plazo que se venció. El transitorio Décimo Segundo ordena:

"La persona titular del Ejecutivo Federal deberá expedir las adecuaciones correspondientes a los reglamentos y demás disposiciones aplicables […] dentro de los noventa días naturales siguientes a la entrada en vigor del presente Decreto, a fin de armonizarlos a lo previsto en el mismo."

Noventa días naturales contados desde el 21 de marzo de 2025 vencieron el 19 de junio de 2025. Al 3 de septiembre de 2026 no se ha publicado un reglamento adecuado.

2. El Reglamento sigue siendo el de 2011

El texto que la Cámara de Diputados publica como vigente es el Reglamento de la LFPDPPP, DOF 21 de diciembre de 2011. No hay uno posterior.

Su artículo 26 dice, literalmente:

"El aviso de privacidad deberá contener los elementos a que se refieren los artículos 8, 15, 16, 33 y 36 de la Ley, así como los que se establezcan en los lineamientos a que se refiere el artículo 43, fracción III de la Ley."

Esas remisiones se escribieron contra la ley de 2010. En la ley de 2025 esos números corresponden a materias distintas:

La coincidencia es parcial: los artículos 15 y 16 siguen siendo del aviso, pero los artículos 33, 36 y 43 ya no dicen lo que decían cuando se redactó el Reglamento. Aplicar el artículo 26 hoy exige traducir numeraciones, y esa traducción es interpretación, no lectura directa.

Y no es sólo el artículo 26. Los reenvíos del Reglamento a la ley están redactados contra la numeración de 2010 de punta a punta. Tres ejemplos más, verificados literalmente:

El artículo 68 es el caso más llamativo. El Reglamento remite al artículo 37 para las excepciones a la transferencia — que es exactamente el artículo abrogado que sigue apareciendo en miles de avisos de privacidad mexicanos. Aquí quien lo cita mal no es un negocio distraído: es la norma reglamentaria en vigor.

3. El artículo 15 tiene seis fracciones, no trece

Conviene decirlo con precisión, porque circula la cifra equivocada. El artículo 15 de la ley vigente exige seis elementos:

1. La identidad y domicilio del responsable.
2. Los datos personales que serán sometidos a tratamiento, identificando aquéllos que son sensibles.
3. Las finalidades del tratamiento, distinguiendo aquéllas que requieren el consentimiento de la persona titular.
4. Las opciones y medios que el responsable ofrezca para limitar el uso o divulgación de los datos.
5. Los mecanismos, medios y procedimientos para ejercer los derechos ARCO.
6. El procedimiento y medio por el cual se comunicarán los cambios al aviso de privacidad.

Los avisos que en la práctica se redactan con doce o trece apartados no están inflados: recogen además lo que exigen el Reglamento y otros artículos de la propia ley — el artículo 8 para datos sensibles, el 16 para el aviso simplificado, el 36 para transferencias. Pero atribuir trece elementos al artículo 15 es incorrecto.

4. Los Lineamientos de 2013 perdieron su fundamento expreso

Los Lineamientos del Aviso de Privacidad se publicaron en el DOF el 17 de enero de 2013. El Reglamento los invoca a través del artículo 43, fracción III de la ley de 2010, que facultaba al entonces IFAI —después INAI— para emitirlos.

Dos cosas cambiaron:

• La autoridad que los emitió se extinguió. El transitorio Cuarto de la ley de 2025 dispone que las menciones al INAI contenidas en otras disposiciones "se entenderán hechas o conferidas a los entes públicos que adquieren tales atribuciones o funciones".
• La facultad desapareció del texto legal. La palabra "lineamientos" no aparece ni una sola vez en la ley vigente. El artículo 43 de la ley nueva regula las resoluciones de protección de derechos, no la emisión de lineamientos.

Que un instrumento pierda su fundamento expreso no equivale automáticamente a que deje de aplicarse: eso lo resolverá la autoridad o los tribunales, y hasta hoy no hay pronunciamiento. Lo que sí puede afirmarse es que su base legal directa ya no está en el texto vigente, y que el Reglamento —que sí conserva un hilo de continuidad, porque la ley ordenó adecuarlo y no sustituirlo— está en una posición más firme.

5. La certificación en protección de datos quedó sin piso

Este punto merece apartado propio porque tiene consecuencias comerciales, no sólo académicas.

El Reglamento dedica tres artículos a la certificación. El 83 dispone que los esquemas de autorregulación vinculante "podrán incluir la certificación de los responsables en materia de protección de datos personales", y que esa certificación "deberá ser otorgada por una persona física o moral certificadora ajena al responsable, de conformidad con los criterios que para tal fin establezcan los parámetros a los que refiere el artículo 43, fracción V de la Ley". El 84 somete la acreditación de esos certificadores a los mismos parámetros. El 85 los define.

Los tres cuelgan del mismo clavo: el artículo 43, fracción V de la ley. Y aquí lo importante no es que se haya movido el número, sino que la facultad desapareció.

En la ley de 2010, el artículo 43 enumeraba las atribuciones de la Secretaría, y su fracción V decía literalmente:

"Fijar los parámetros necesarios para el correcto desarrollo de los mecanismos y medidas de autorregulación a que se refiere el artículo 44 de la presente Ley, incluido la promoción de Normas Mexicanas o Normas Oficiales Mexicanas, en coadyuvancia con el Instituto."

Su sucesor en la ley vigente es el artículo 39, que enumera las atribuciones de la Secretaría en once fracciones. Ninguna de las once es fijar parámetros de autorregulación. La fracción V de hoy dice otra cosa: "Divulgar estándares y mejores prácticas internacionales en materia de seguridad de la información".

Y hay dos comprobaciones de una línea que cierran el punto, y que cualquiera puede repetir con una búsqueda de texto en el PDF:

• La palabra "parámetros" no aparece ni una sola vez en la ley vigente. En la ley de 2010 aparecía exactamente una vez: en el artículo 43, fracción V.
• La palabra "certificación" no aparece ni una sola vez en la ley vigente.

(De paso: el artículo 43 de la ley vigente regula la resolución favorable en el procedimiento de protección de derechos y no tiene fracciones. Quien siga el reenvío literal del Reglamento llega ahí.)

La autorregulación sí sobrevivió, pero cambió de naturaleza. El artículo 37 de la ley vigente la conserva —códigos deontológicos, sellos de confianza, otros mecanismos— y cierra así:

"Dichos esquemas serán notificados de manera simultánea a las autoridades correspondientes y a la Secretaría."

Notificación, no acreditación. La figura del certificador acreditado por la autoridad, tal como la construyó el Reglamento de 2011, se quedó sin la disposición legal que la sostenía.

Qué se sigue de esto, dicho con cuidado:

• No significa que un sello privado sea ilegal. El artículo 37 sigue admitiendo sellos de confianza dentro de un esquema de autorregulación notificado.
• Sí significa que hoy nadie puede presentarse como certificador acreditado por la autoridad federal con fundamento firme en el texto vigente: la acreditación dependía de unos parámetros que la ley ya no faculta a nadie a fijar, y la palabra "certificación" no está en el texto.
• Para quien contrata: conviene pedir que le indiquen el artículo vigente en el que se apoya cualquier certificación o sello que le ofrezcan. Es una pregunta de una línea y se responde o no se responde.

Nosotros no certificamos, no dictaminamos y no determinamos el cumplimiento de nadie — y esta es una de las razones por las que no lo hacemos.

6. Qué significa en la práctica

Para un negocio que trata datos personales, la situación no es de vacío sino de superposición:

• Las obligaciones de la ley son claras y exigibles. Los seis elementos del artículo 15, el consentimiento expreso y por escrito para datos sensibles del artículo 8, los plazos de veinte y quince días hábiles del artículo 31 para los derechos ARCO, la gratuidad del artículo 34.
• El Reglamento de 2011 sigue publicado como texto vigente y sigue exigiendo elementos que la ley no enumera.
• La lectura conservadora es la estructura más completa, no la mínima. Un aviso que cumple los seis elementos del artículo 15 y además conserva los apartados que pide el Reglamento cubre ambos escenarios mientras la incoherencia no se resuelva. Un aviso reducido a seis apartados apuesta a una interpretación que nadie ha confirmado.

Y hay algo que no depende de esta discusión: un aviso que todavía nombra al INAI como autoridad, o que cita el artículo 37 de la ley abrogada, quedó desactualizado el 21 de marzo de 2025, con Reglamento nuevo o sin él.

7. Cómo verificar esto usted mismo

Todo lo anterior se comprueba en dos documentos públicos, sin intermediarios:

• Ley vigente: diputados.gob.mx/LeyesBiblio/pdf/LFPDPPP.pdf — revise el encabezado ("Nueva Ley publicada en el Diario Oficial de la Federación el 20 de marzo de 2025"), el artículo 15 y los transitorios Primero, Segundo, Cuarto y Décimo Segundo.
• Reglamento vigente: diputados.gob.mx/LeyesBiblio/regley/Reg_LFPDPPP.pdf — revise el encabezado ("Nuevo Reglamento publicado en el Diario Oficial de la Federación el 21 de diciembre de 2011") y el artículo 26.

Para confirmar que la palabra "lineamientos" no aparece en la ley, basta una búsqueda de texto en el PDF.

Si en algún momento se publica un reglamento adecuado, este documento quedará superado y lo actualizaremos indicando la fecha del DOF.

Documento informativo con fundamento citado, no asesoría jurídica ni fiscal. Reglaria no certifica, dictamina ni determina el cumplimiento de ninguna persona o empresa. Fechas verificadas al 3 de septiembre de 2026 contra los textos publicados por la Cámara de Diputados.