Protección de datos y correo en México: qué cambió con la ley de 2025

El 20 de marzo de 2025 se publicó en el Diario Oficial de la Federación una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, en vigor desde el día siguiente. No es una reforma: es una ley nueva que abrogó por completo la de 2010 y eliminó al INAI como autoridad. Si tu guía de cumplimiento menciona al INAI, está desactualizada. A continuación, qué cambió y qué significa para las campañas de correo.

El cambio que mucha gente todavía no registró

Durante quince años el marco mexicano de protección de datos fue la ley de 2010, supervisada por el Instituto Nacional de Transparencia. Ese esquema dejó de existir.

La supervisión, verificación y sanción en materia de datos personales del sector privado pasó a la Secretaría Anticorrupción y Buen Gobierno, una dependencia del Poder Ejecutivo. Todas las menciones al INAI en normas anteriores se entienden ahora hechas a esa Secretaría.

La ley tuvo además una reforma menor publicada el 14 de noviembre de 2025, que ajustó un artículo para armonizarlo con el Código Nacional de Procedimientos Civiles y Familiares. El texto vigente ya la incorpora.

Un matiz importante de contexto: al momento de redactar esta guía el Reglamento de la nueva ley no había sido publicado en el DOF. Eso significa que algunos plazos y procedimientos específicos —notablemente los de notificación de brechas de seguridad— todavía están pendientes de desarrollo reglamentario.

Los ocho principios que rigen todo

El artículo 5 establece ocho principios de observancia obligatoria para cualquier empresa que trate datos personales. Vale la pena leerlos con la campaña de correo en mente, porque varios se incumplen sin darse cuenta.

• licitud: los datos se obtienen por medios legítimos, no comprados ni raspados de la web
• finalidad: se recaban para fines explícitos que el titular conoce de antemano
• lealtad: no se obtienen engañando ni mediante medios fraudulentos
• consentimiento: el titular acepta el tratamiento para las finalidades informadas
• calidad: los datos son exactos y están actualizados
• proporcionalidad: se recaba solo lo necesario para la finalidad declarada
• información: existe un aviso de privacidad accesible
• responsabilidad: la empresa debe poder demostrar que cumple

El principio de proporcionalidad merece atención especial en formularios de suscripción. Pedir fecha de nacimiento, teléfono y empresa para enviar un boletín no es proporcional a la finalidad: para mandar correos basta el correo.

El aviso de privacidad cambió

Aquí están las modificaciones más concretas para quien opera campañas. La nueva ley redefine qué debe contener el aviso de privacidad integral.

• detallar qué datos personales serán tratados, identificando expresamente los sensibles
• distinguir entre las finalidades que requieren consentimiento y las que no lo requieren
• proporcionar además un aviso de privacidad simplificado en los supuestos que la ley señala
• mantenerlo accesible en el punto donde se recaban los datos, no escondido en el pie de página

La distinción entre finalidades con y sin consentimiento es la parte que más afecta al correo. Enviar la confirmación de un pedido es una finalidad ligada a la relación contractual. Enviar promociones no lo es, y necesita su propio consentimiento diferenciado.

En la práctica esto se traduce en una regla sencilla para el formulario: una casilla para aceptar el tratamiento de datos y otra, separada, para aceptar comunicaciones comerciales. Juntarlas en una sola frase compromete la validez del consentimiento.

Consentimiento para campañas comerciales

La ley endureció los requisitos de consentimiento respecto del marco anterior. Para el envío de comunicaciones comerciales el camino seguro es el consentimiento expreso, obtenido de forma separada y documentable.

• casilla desmarcada por defecto: una casilla premarcada no acredita voluntad
• texto que mencione explícitamente el envío de comunicaciones comerciales
• registro de la fecha, la hora y el medio por el que se otorgó
• posibilidad de revocarlo con la misma facilidad con que se otorgó
• negarse a recibir promociones no puede impedir el uso del servicio

El último punto es el que más se incumple. Condicionar el acceso a un contenido o a una compra a la aceptación de publicidad convierte el consentimiento en no libre, y un consentimiento no libre no sirve como base.

Sanciones

El régimen sancionador se endureció. Las multas se calculan en Unidades de Medida y Actualización y abarcan un rango amplio según la gravedad de la infracción.

Además de las multas administrativas, la ley contempla penas privativas de la libertad de hasta cinco años para quien trate datos personales mediante engaño o con ánimo de lucro indebido, y esas penas también pueden incrementarse cuando se trata de datos sensibles.

Las infracciones que con más frecuencia afectan a campañas de correo son concretas: tratar datos sin consentimiento válido, no tener aviso de privacidad accesible, usar los datos para finalidades distintas de las informadas y transferirlos a terceros sin base para hacerlo.

Listas compradas

La respuesta es directa: una lista comprada no supera el principio de licitud ni el de consentimiento. Las personas de esa lista no conocen tu empresa ni aceptaron recibir tus ofertas, y no existe base que lo sostenga.

El argumento de que el vendedor garantizó el consentimiento no protege. La ley coloca la carga de demostrar el cumplimiento en quien trata los datos, y esa demostración no puede delegarse en un intermediario.

Hay además un costo práctico independiente de la ley: las listas compradas generan tasas altas de queja, y eso hunde la entregabilidad de todos tus envíos, incluidos los dirigidos a quienes sí quieren recibirte.

Qué hacer con una base antigua

Situación frecuente: la lista se armó durante años bajo el marco anterior y nadie recuerda cómo se recabó cada consentimiento.

El camino es una campaña de reconfirmación. Un envío único pidiendo a la persona que confirme si desea seguir recibiendo comunicaciones. Ese correo no es publicitario si no contiene oferta de productos: es una solicitud de confirmación.

• explica con claridad por qué pides la confirmación
• un botón único para confirmar y un enlace visible para darse de baja
• sin productos, sin cupones y sin promociones en ese mensaje
• registra la fecha y el medio de la confirmación de quien responda
• saca de los envíos regulares a quien no responda

La base se va a reducir, a veces bastante. A cambio queda una lista defendible y con mejor entregabilidad, porque las direcciones silenciosas dejan de arrastrar tus indicadores hacia abajo.

Lista de comprobación

• aviso de privacidad integral publicado y accesible donde se recaban los datos
• aviso simplificado disponible en los supuestos que la ley prevé
• casilla de consentimiento comercial separada de la aceptación del aviso
• casillas desmarcadas por defecto en todos los formularios
• registro de fecha, hora y medio de cada consentimiento
• enlace de baja funcionando en todo correo comercial
• procedimiento definido para atender solicitudes de acceso, rectificación, cancelación y oposición
• solo se recaban los datos necesarios para la finalidad declarada

El penúltimo punto suele quedar sin resolver hasta que llega la primera solicitud. Tener el procedimiento listo de antemano evita improvisar con plazos corriendo.

Cómo ayuda Mailvex

El constructor inserta el enlace de baja en el pie automáticamente y el panel de validación avisa si falta antes del envío. Los datos del remitente y los enlaces legales obligatorios se definen una vez en el manual de marca y entran en todos los correos sin copiarlos en cada campaña.

Para los mensajes transaccionales hay plantillas separadas, sin bloques promocionales, precisamente para no convertir una confirmación de pedido en comunicación comercial por descuido.

Preguntas frecuentes

¿Sigue vigente la ley de 2010?

No. Fue abrogada por la nueva LFPDPPP publicada el 20 de marzo de 2025, en vigor desde el 21 de marzo. Cualquier guía que mencione al INAI como autoridad está desactualizada: sus atribuciones pasaron a la Secretaría Anticorrupción y Buen Gobierno.

¿Necesito consentimiento para enviar la confirmación de un pedido?

Para el mensaje sobre la compra en sí, no: es una finalidad ligada a la relación con el cliente. Para enviarle promociones de otros productos, sí. La nueva ley obliga precisamente a distinguir en el aviso de privacidad entre finalidades que requieren consentimiento y las que no.

¿Una casilla que diga «acepto el aviso de privacidad y deseo recibir ofertas» es válida?

Es arriesgada. Al juntar dos cosas distintas en una sola manifestación, la voluntad respecto de las comunicaciones comerciales queda comprometida. Lo seguro son dos casillas separadas, ambas desmarcadas por defecto.

Nota

Esta guía tiene finalidad informativa y describe el marco general vigente al momento de su redacción. El Reglamento de la nueva ley aún no había sido publicado, por lo que algunos procedimientos siguen pendientes de desarrollo. Para decisiones concretas sobre tu operación conviene consultar a un especialista en la materia.