Jurisdicción seleccionada: México — Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), nueva ley vigente desde el 21 de marzo de 2025
Concepto clave 1 — Datos personales
Un dato personal es cualquier información sobre una persona natural identificada o identificable. La definición es amplia a propósito, y es la misma idea en casi todas las leyes de protección de datos.
Concepto clave 2 — Datos sensibles
Los datos sensibles (también llamados categorías especiales de datos personales) pueden llevar a discriminación, exclusión u otros daños graves. Las categorías varían de una ley a otra, así que revise siempre la lista local.
Qué significa en la práctica: condiciones más estrictas, como el consentimiento expreso o por escrito, más seguridad, acceso solo para quien lo necesita y, en muchas leyes, una evaluación de riesgos antes de empezar.
Datos personales sensibles: datos que afectan a la esfera más íntima de la persona o cuyo uso indebido puede dar origen a discriminación o a un riesgo grave.
Concepto clave 3 — Tratamiento y roles
El tratamiento abarca todo el ciclo de vida: recopilar, registrar, almacenar, usar, compartir, modificar y suprimir datos, en papel o en sistemas informáticos. Cada tratamiento tiene roles claros.
La LFPDPPP se aplica a las personas físicas y empresas privadas que tratan datos personales. Los entes públicos están regulados por una ley general distinta.
Concepto clave 4 — Los principios básicos
Los nombres cambian de una ley a otra, pero las ideas son casi universales. Los talleres siguientes convierten cada principio en medidas concretas.
Principio en foco — Licitud
La licitud significa que cada tratamiento necesita una base legal o una justificación. Es el punto en que más difieren las leyes: algunas se basan en el consentimiento, otras ofrecen varias bases legales equivalentes.
El consentimiento válido es libre, específico, informado e inequívoco, y puede revocarse en cualquier momento. Las casillas premarcadas y el consentimiento escondido en los términos y condiciones no cuentan.
El consentimiento es la regla. Puede ser tácito para datos ordinarios, debe ser expreso para datos financieros y patrimoniales, y expreso y por escrito para datos sensibles. El aviso de privacidad debe estar disponible antes de recabar los datos.
Concepto clave 5 — Transferencias de datos
Los datos personales rara vez se quedan en un solo sistema: van a proveedores, empresas del grupo, socios y autoridades, y muy a menudo a servidores en el extranjero. Cada uno de estos flujos tiene sus propias reglas.
Fácil de pasar por alto: el acceso remoto desde el extranjero (p. ej. equipos de soporte o la casa matriz) y los servicios en la nube alojados fuera del país también son transferencias.
Las transferencias a terceros, en México o en el extranjero, deben constar en el aviso de privacidad y por lo general requieren el consentimiento del titular, salvo las excepciones de la ley (p. ej. empresas del mismo grupo con las mismas normas internas, o un contrato en interés del titular). El destinatario asume las mismas obligaciones que el responsable. Las remisiones a un encargado no requieren consentimiento, pero sí un contrato.
Concepto clave 6 — Consecuencias del incumplimiento
La mayoría de los casos sancionadores empiezan con algo evitable: una brecha de seguridad, una base legal que falta, una solicitud de un cliente sin responder o la queja de un empleado.
Autoridad de control: Secretaría Anticorrupción y Buen Gobierno (SABG), que asumió las funciones del extinto INAI
Su jurisdicción de un vistazo — México
Autoridad: Secretaría Anticorrupción y Buen Gobierno (SABG), que asumió las funciones del extinto INAI
Compruebe lo aprendido y próximos pasos
Resultado esperado de la Tarea 1: todos los miembros del equipo del proyecto entienden los términos y principios clave de la protección de datos en los que se basan los talleres siguientes.