El 20 de marzo de 2025 se publicó en el Diario Oficial de la Federación (“DOF”) el “DECRETO por el que se expiden la Ley General de Transparencia y Acceso a la Información Pública; la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados; la Ley Federal de Protección de Datos Personales en Posesión de los Particulares; y se reforma el artículo 37, fracción XV, de la Ley Orgánica de la Administración Pública Federal” (el “Decreto”).

El Decreto abrogó la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (“LFPDPPP”), y extinguió el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (“INAI”).  La Secretaría Anticorrupción y Buen Gobierno será la autoridad encargada de asumir las funciones del órgano extinto.

Se destacan algunos de los cambios más importantes:

1.-        Consentimiento.  El consentimiento deberá ser obtenido de forma libre, específica e informada; bastando, por regla general, su manifestación tácita.

2.-        Aviso de privacidad.  El Aviso deberá distinguir entre finalidades necesarias y voluntarias.  Además, cuando los datos personales se obtengan por medios electrónicos, ópticos, sonoros, visuales o a través de cualquier otra tecnología, se deberá poner a disposición un aviso de privacidad simplificado.

3.-        Transferencia de datos.  Como regla general, no será necesario notificar en caso de transferencias de datos a terceros.  Sin embargo, se deberá obtener nuevamente el consentimiento del titular si un responsable realiza un tratamiento distinto a la finalidad prevista.

4.-        Autorregulación.  Los particulares podrán implementar esquemas de autorregulación vinculantes, con el objetivo de complementar lo dispuesto en la ley.

5.-        Derechos ARCO.  Se incluye la definición de los derechos ARCO (acceso, rectificación, cancelación y oposición), precisando el alcance de los derechos de cancelación y oposición.

Por lo que hace a la cancelación, su ejercicio incluirá los archivos, registros, expedientes y sistemas donde se alojen los datos personales.

En lo relativo al derecho de oposición, se reconoce la legitimación del titular para ejercerlo cuando sus datos sean objeto de tratamiento automatizado sin intervención humana; en particular, si tales tratamientos evalúan aspectos personales como el rendimiento profesional, estado de salud, preferencias sexuales, fiabilidad o comportamiento, y producen efectos no deseados o afectan los intereses, derechos o libertades del titular.

6.-        Medios de defensa.  El medio de defensa procedente contra las resoluciones emitidas por la Secretaría Anticorrupción y Buen Gobierno será el juicio de amparo indirecto, el cual deberá substanciarse ante Juzgados de Distrito y Tribunales Colegiados de Circuito especializados y de pendiente creación.

7.-        Autonomía.  La Secretaría Anticorrupción y Buen Gobierno formará parte del Ejecutivo Federal, perdiendo la independencia con la que contaba el INAI.  También se suprime la obligación anual de rendir un informe al Congreso de la Unión respecto de sus actividades.

La entrada en vigor de la nueva LFPDPPP representa una reconfiguración sustantiva del régimen de protección de datos personales en México.  Si bien el ordenamiento incorpora elementos acordes con estándares internacionales (como la inclusión del derecho de oposición frente a decisiones automatizadas o el fortalecimiento del consentimiento informado), también plantea interrogantes relevantes sobre la eficacia del nuevo modelo institucional.

Uno de los aspectos que mayor inquietud ha generado es la extinción del INAI y la centralización de funciones en una autoridad administrativa adscrita al Poder Ejecutivo Federal.  La pérdida de autonomía técnica y operativa podría comprometer la imparcialidad en la vigilancia y sanción de las obligaciones previstas en la ley, debilitando los mecanismos de control sobre el tratamiento indebido de datos personales por parte de particulares y autoridades gubernamentales.

Asimismo, el nuevo esquema de medios de defensa, que restringe la impugnación de actos de autoridad al juicio de amparo indirecto ante órganos jurisdiccionales aún no constituidos, podría generar incertidumbre jurídica en el corto plazo.  En este contexto, será fundamental observar el desarrollo reglamentario, la implementación institucional y la respuesta del Poder Judicial de la Federación para valorar si los cambios introducidos permiten consolidar un sistema de protección de datos personales eficaz, confiable y respetuoso de los derechos fundamentales reconocidos en la Constitución Federal y los tratados.