El Comité de Innovación y TICs de AMCHAM Ciudad de México llevó a cabo una sesión de análisis sobre el nuevo marco legal en identidad, inteligencia y protección de datos, a partir del paquete de reformas publicado el 16 de julio de 2025 en el Diario Oficial de la Federación.

Durante la sesión, expertos de la asociación civil Siglo XXII. Derecho y Tecnología explicaron que la creación de la CURP con datos biométricos y la Plataforma Central de Inteligencia representan un cambio estructural en la política de identidad y en la gestión de datos en México. La CURP que incluirá fotografía, huellas dactilares y otros datos sensibles, se convertirá en el documento de identificación obligatorio para realizar trámites y acceder a servicios públicos y privados.

Asimismo, la nueva Plataforma Central de Inteligencia permitirá la interconexión en tiempo real de bases de datos públicas y privadas, incluyendo información financiera, fiscal, de telecomunicaciones, salud y transporte. Si bien el objetivo es fortalecer la seguridad pública y la localización de personas desaparecidas, es fundamental atender riesgos como la ausencia de supervisión independiente tras la desaparición del INAI, el acceso a datos sin orden judicial, la vulnerabilidad ante ciberataques y el potencial impacto en la confianza empresarial y ciudadana.

El paquete legislativo no se limita a crear una nueva identificación, sino que establece una arquitectura normativa integral que articula a autoridades civiles y militares para el acceso y uso de información sensible. Esto incluye reformas a leyes como la Ley General de Población, la Ley Federal de Telecomunicaciones y Radiodifusión, la Ley General en Materia de Desaparición Forzada y la nueva Ley del Sistema Nacional de Investigación e Inteligencia en Materia de Seguridad Pública, entre otras. En conjunto, estas disposiciones amplían las facultades de acceso directo a datos, incluso mediante requerimientos a personas morales y sin la necesidad de contar siempre con una orden judicial previa.

En materia empresarial, se destacó que las compañías deberán asumir nuevas obligaciones, entre ellas: i) adaptar sus sistemas para interconectarse con la Plataforma; ii) asumir costos de integración tecnológica; y iii) fortalecer sus protocolos de ciberseguridad. Este deber de interconexión no distingue por tamaño o sector, y puede abarcar tanto información digital como física: datos de clientes y empleados, registros financieros, inventarios, cámaras de videovigilancia o incluso secretos industriales y comerciales. La amplitud de la definición legal, incluyendo la frase “cualquier otro dato”, incrementa el riesgo de que información estratégica de las empresas pueda ser requerida por las autoridades.

El periodo entre julio y octubre de 2025 será decisivo para que el sector privado participe activamente en la definición de la regulación secundaria. Entre las acciones recomendadas se encuentran revisar el marco jurídico para identificar puntos críticos por sector, participar en consultas públicas y mesas de trabajo, y considerar estrategias jurídicas como amparos contra actos de aplicación. Estas medidas buscan sumar a los esfuerzos de seguridad pública del gobierno, privilegiando siempre el diálogo constructivo y la incorporación de salvaguardas que protejan los derechos humanos.

La digitalización de la identidad abre oportunidades en eficiencia y verificación, pero también plantea desafíos ante la falta de límites claros, controles independientes y garantías de proporcionalidad en el acceso a datos. Para las empresas, el gran reto será anticipar estos cambios, adaptarse con rapidez y, al mismo tiempo, preservar la confianza de clientes y socios en un entorno de creciente interconexión y escrutinio digital.

AMERICAN CHAMBER/MEXICO
Ciudad de México | 13 | agosto | 2025

La entrada en vigor de la nueva Ley de Protección de Datos Personales en Posesión de Particulares marca un cambio significativo en el marco regulatorio mexicano. Con el objetivo de acompañar a las empresas en la comprensión de sus nuevas obligaciones, en esta sesión del Comité de Innovación y TICs de AMCHAM Ciudad de México contamos con la participación de Isabel Davara y Alejandro García, especialistas en privacidad, cumplimiento normativo y gobernanza de datos.

La nueva legislación en materia de protección de datos personales marca un cambio importante en la forma en que las empresas deberán gestionar la información. Entre los principales ajustes se encuentran:

• La ampliación del concepto de “datos personales”, que tradicionalmente se refería solo a personas físicas, ahora podría incluir información relacionada con personales morales (como empresas u organizaciones).
• La incorporación del consentimiento tácito como base legal, lo que significa que, en ciertos casos, el silencio del titular podría interpretarse como una autorización válida, siempre que se le haya informado adecuadamente. 
• La redefinición del rol del “responsable del tratamiento”, eliminando el criterio de “quién toma de decisiones” como único factor determinante. Esto obliga a revisar internamente quiénes participan en el manejo de los datos y qué responsabilidades les corresponden, incluso si no tiene la última palabra en el proceso.

Estos cambios, aunque orientados a modernizar el marco legal, podrían generar cierta incertidumbre jurídica. Por ello, será fundamental mantener un diálogo activo con las autoridades para una adecuada interpretación y aplicación de las nuevas reglas.

¿Qué deben hacer las empresas ante este nuevo escenario?

Más allá del cumplimiento formal, este es un momento para fortalecer la cultura de legalidad, basada en la prevención, la transparencia y la rendición de cuentas. Compartimos aquí algunas recomendaciones clave para construir un plan de acción efectivo:

• Mapeo e inventario de datos: Identificar claramente todos los flujos de datos personales dentro de la organización y construir un inventario actualizado, que permita rastrear cada dato desde su origen hasta su eliminación. Esto es esencial para cumplir con tiempos cortos -cinco a diez días hábiles- de respuesta ante auditorías o verificaciones.
• Contratos con terceros: Revisar cláusulas contractuales con proveedores o aliados que manejan datos personales, delimitando las responsabilidades de cada parte. La nueva definición de “responsable” ya no se basa solo en quien decide, por lo que será importante definir estos roles por escrito, de forma clara y específica.
• Bases legales del tratamiento: No siempre se necesita pedir consentimiento. Las empresas deben evaluar si otras bases legales son más adecuadas en ciertos casos, evitando pedir autorizaciones innecesarias.  También es importante integrar mecanismos de consentimiento expreso, incluidos los tecnológicos, para obtener y registrar consentimientos cuando así se requieran. 
• Justificación: Dado que la nueva autoridad podría tener criterios distintos a los del Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) para interpretar qué tratamientos son lícitos, se recomienda poner especial atención en cómo se justifica legalmente cada uso de los datos y estar preparados para explicarlo de forma clara y documentada ante cualquier requerimiento.
• Avisos de privacidad actualizados: El aviso de privacidad sigue siendo el “contrato” con el titular, y uno de los documentos más auditables. Es importante actualizarlo, diferenciando entre finalidades primarias (las esenciales para el servicio) y secundarias (con fines comerciales o estadísticos), y asegurar que tanto la versión simplificada como la  integral estén alineadas con la nueva ley.
• Derechos de los titulares (ARCO): Las empresas deben contar con canales eficaces para que las personas puedan ejercer sus derechos: acceder, rectificar, cancelar u oponerse al uso de sus datos. También es importante poder demostrar documentalmente que estos procesos se cumplen.
• Decisiones automatizadas: La nueva ley introduce por primera vez en México el derecho a oponerse a decisiones tomadas exclusivamente por algoritmos. Si una empresa usa sistemas automatizados que afectan significativamente a las personas, deberán habilitar mecanismos de revisión humana y canales de objeción.
• Cambios institucionales: La desaparición del INAI y la creación de la Secretaría de Anticorrupción y Buen Gobierno como nueva autoridad en materia de datos abre un período de ajustes institucionales que, si bien plantea interrogantes sobre su experiencia técnica en la materia, también representa una oportunidad de construir desde el inició una relación colaborativa. Será crucial dar seguimiento a su evolución, criterios técnicos y lineamientos regulatorios, así como construir una relación basada en evidencia y trazabilidad.
• Seguimiento normativo: Estar atentos a la emisión del nuevo Reglamento (previsto en un plazo de 90 días) y adaptar los procesos internos conforme a nuevas disposiciones secundarias. Muchos conceptos aún deben desarrollarse en normas complementarias.
• Auditoría de cumplimiento: Evaluar el nivel de madurez del programa de privacidad y reforzar controles internos, incluyendo simulacros de respuesta ante incidentes y documentación de procesos.
• Programa de privacidad: Implementar políticas específicas sobre temas como inteligencia artificial, retención, minimización de datos y gestión de riesgos. La clave es anticiparse y evitar respuestas reactivas, así como documentar todas las acciones como parte de la evidencia que podría presentarse a las autoridades. 
• Capacitación: Las empresas deberán reforzar la formación de su personal en materia de protección de datos, asegurando que esta no se limite a cumplir con lo que marca la norma, sino que promueva una comprensión profunda de los riesgos legales, operativos y reputacionales asociados con el manejo inadecuado de la información.

Desde AMCHAM, reiteramos nuestro compromiso de facilitar el diálogo entre el sector privado y las autoridades, con el fin de generar espacios de colaboración y acompañamiento. Un entorno regulatorio claro y justo es esencial para la competitividad de las empresas, por ello, seguiremos trabajando para generar las herramientas necesarias que permitan al sector empresarial actuar con responsabilidad, transparencia e integridad ante este nuevo entorno regulatorio.

AMERICAN CHAMBER/MEXICO
Ciudad de México | 19 | mayo | 2025