LFPDPPP en México:
qué exige el Artículo 18

Si tu empresa en México trata datos personales de clientes — nombres, correos, teléfonos o historial de compras — debe revisar sus obligaciones conforme a la LFPDPPP. Este artículo explica qué exige el Artículo 18 y cómo una evaluación técnica puede ayudar a gestionar riesgos, sin sustituir las demás medidas requeridas.

Qué cambió con la nueva LFPDPPP

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares fue publicada en el Diario Oficial de la Federación el 20 de marzo de 2025 y entró en vigor al día siguiente, el 21 de marzo. Esta nueva versión abroga completamente la ley de 2010 que estuvo vigente durante 15 años.

Entre los cambios relevantes para las empresas están:

• Nueva autoridad de supervisión: La Secretaría Anticorrupción y Buen Gobierno reemplaza al INAI como organismo responsable. Esto cambia los procedimientos de denuncia, investigación y sanción.
• Sanciones en UMA: El Artículo 59 establece rangos distintos según la infracción y contempla incrementos en supuestos específicos.
• Medidas de seguridad: El Artículo 18 exige establecer y mantener medidas administrativas, técnicas y físicas para proteger datos personales.

Qué exige el Artículo 18 exactamente

El Artículo 18 es la columna técnica de la ley. Establece que el responsable del tratamiento de datos —es decir, tu empresa— debe implementar y mantener medidas de seguridad de tres tipos:

Medidas administrativas

Políticas internas de privacidad, procedimientos de acceso a datos, contratos de confidencialidad con empleados y proveedores, designación de un responsable de privacidad y registros de las actividades de tratamiento. En términos prácticos: papel y procesos.

Medidas técnicas

Según el riesgo, pueden incluir controles de acceso, cifrado, gestión de vulnerabilidades y monitoreo de accesos no autorizados. Una evaluación de seguridad o un pentest puede ayudar a identificar fallas en sistemas concretos; el Artículo 18 no prescribe una herramienta o periodicidad específica.

Medidas físicas

Control de acceso a instalaciones donde se procesan datos, protección de servidores y equipos de almacenamiento, y destrucción segura de información al término de su vida útil.

El Artículo 18 pide establecer y mantener las medidas tomando en cuenta el riesgo, las posibles consecuencias para las personas titulares, la sensibilidad de los datos y la tecnología. Documentar evaluaciones y correcciones es una buena práctica para dar seguimiento, aunque el artículo no exige expresamente un pentest. Consulta el texto vigente de la ley.

Multas reales: cuánto puede costarte incumplir

Una brecha no implica automáticamente la sanción máxima. El monto depende de la infracción acreditada y de los criterios de los Artículos 58 a 60. Para conocer su equivalente en pesos debe usarse el valor de la UMA vigente al momento aplicable.

Qué puede aportar un pentest a la gestión de riesgos

Muchas empresas implementan controles de seguridad, pero necesitan comprobar si son eficaces en los sistemas que tratan datos personales. Un pentest con alcance definido puede ayudar a encontrar fallas explotables y priorizar correcciones.

Una evaluación bien documentada puede incluir:

1. El acuerdo de alcance firmado — demuestra que la evaluación fue intencional y autorizada, no accidental.
2. El reporte técnico — documenta las vulnerabilidades encontradas y su impacto según el alcance acordado.
3. El reporte ejecutivo — traduce los hallazgos técnicos a riesgo de negocio, incluyendo potencial impacto sobre datos personales.

El valor del pentest depende de su alcance, metodología, hallazgos y seguimiento de la remediación. Su reporte puede servir como evidencia técnica de una evaluación, pero no acredita por sí solo el cumplimiento del Artículo 18.

Industrias de mayor riesgo

Aunque la ley aplica a cualquier empresa que trate datos personales, ciertas industrias tienen una exposición particularmente alta por el volumen y la sensibilidad de los datos que manejan:

Despachos contables y legales

Manejan datos fiscales y patrimoniales de sus clientes, además de posibles credenciales de acceso. Una filtración puede afectar a varias empresas y exige evaluar qué datos se comprometieron y qué obligaciones aplican.

Clínicas y consultorios

Los datos de salud son datos personales sensibles. Expedientes digitales, portales de pacientes y formularios médicos requieren medidas proporcionales al riesgo; en ciertos supuestos, las sanciones pueden incrementarse hasta el doble.

E-commerce y retail

Una tienda en línea que guarda historiales de compra, métodos de pago o direcciones de envío trata datos personales. Las bases de clientes, las credenciales y las integraciones de pago merecen una revisión de seguridad acorde con el riesgo.

Escuelas y universidades privadas

Manejan datos de menores, que tienen protección especial, junto con información financiera de las familias. Portales de calificaciones, plataformas de pago de colegiaturas y sistemas de admisión son vectores de riesgo frecuentes.