México: multas de hasta MXN$75M por datos personales

México ya no tiene INAI: qué autoridad vigila ahora tus datos

El 12 de julio de 2026, la Secretaría Anticorrupción y Buen Gobierno (SABG) impuso una multa de MXN$42,8 millones a la Federación Mexicana de Fútbol por el tratamiento de datos biométricos en su sistema FAN ID, según documentó el despacho Ritch Mueller. Es uno de los primeros pronunciamientos públicos que revela cómo la autoridad que heredó las funciones del extinto INAI interpreta la ley.

Para un founder, la señal es directa: el riesgo ya no depende de sufrir un hackeo. La sanción llegó por cómo la organización documentó el consentimiento y redactó su aviso de privacidad.

Qué cambió con la desaparición del INAI

Marzo de 2025 fue el punto de quiebre. Ese mes entró en vigor la nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y se consumó la extinción del INAI, el organismo autónomo que durante años vigiló la transparencia y la protección de datos en México.

¿Y esto cómo se aplica en tu negocio?

Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

El Congreso aprobó el paquete de leyes secundarias que dio paso a Transparencia para el Pueblo, un ente adscrito a la Secretaría Anticorrupción y Buen Gobierno, según reportó El País. En la práctica, las atribuciones de supervisión en materia de datos personales quedaron dentro de una unidad administrativa del Ejecutivo, no en un órgano autónomo.

Para las empresas, el problema no es solo institucional: es de criterio. Los precedentes del INAI siguen siendo una referencia, pero la nueva autoridad todavía está construyendo su doctrina. Luis Gustavo Parra Noriega, Of Counsel de Ferran Martínez Abogados, lo resume así: el principal desafío es la incertidumbre sobre los criterios que aplicará la autoridad para supervisar el cumplimiento.

Qué está mirando la nueva autoridad

El caso FAN ID dejó pistas concretas. Según el análisis de Ritch Mueller, la SABG sancionó tres conductas:

No informar en el aviso de privacidad que las fotografías recabadas constituían datos personales sensibles.
Obtener el consentimiento mediante una simple casilla de verificación en un sitio web, sin un mecanismo que acreditara de forma inequívoca el consentimiento expreso y por escrito.
Incumplir los principios de licitud y responsabilidad al no adoptar las medidas necesarias para garantizar el tratamiento adecuado de los datos.

Lo relevante: ninguna de esas fallas vino de una filtración. La autoridad sancionó la forma en que la empresa documentó su operación. Eso significa que la supervisión no se limita a investigar incidentes de seguridad, sino que abarca el cumplimiento cotidiano de las obligaciones.

Cuánto puede costar el incumplimiento

Las multas de la LFPDPPP se calculan con base en la Unidad de Medida y Actualización (UMA), que en 2026 vale $117,31 pesos diarios, según Ritch Mueller. Los rangos aproximados de exposición son:

Omisiones relacionadas con el aviso de privacidad: hasta $18,7 millones de pesos.
Consentimiento insuficiente y otras infracciones de mayor gravedad: hasta $37,5 millones de pesos.
Cuando intervienen datos personales sensibles: hasta $75 millones de pesos.

Pero el dinero no es la única consecuencia. Parra advierte que la autoridad también puede imponer restricciones o bloqueos temporales de bases de datos o de tratamientos de información. Para una startup que vive de su producto digital, un bloqueo temporal puede ser más letal que la multa.

IA, biometría y marketing: los tres frentes tecnológicos

Parra identifica tres ámbitos donde la tecnología amplifica el riesgo:

IA generativa. Los empleados introducen contratos, información de nómina o datos de clientes en plataformas externas sin saber cómo se procesará esa información. La recomendación es establecer políticas internas que definan qué herramientas se pueden usar, qué información se puede compartir y bajo qué condiciones, además de capacitar al personal.

Biometría y reconocimiento facial. Usarlos para control de accesos, registro de asistencia o identificación de clientes y visitantes exige evaluar la necesidad y proporcionalidad del tratamiento, además de medidas de seguridad adecuadas. El caso FAN ID muestra el costo de no hacerlo.

Marketing digital e hiperpersonalización. Las cookies y herramientas de rastreo permiten perfilar hábitos y preferencias de los consumidores. Sin transparencia ni una base jurídica adecuada, comprometen los derechos de las personas y erosionan la confianza en la empresa.

Qué significa esto para tu startup

El mensaje de Parra es que la privacidad no puede recaer solo en el área jurídica. Necesita involucrar a sistemas, recursos humanos, marketing y ventas. Tres acciones concretas para empezar:

1. Levanta un inventario de tratamientos. Antes de escribir políticas, responde: qué datos personales recopilas, con qué finalidad, dónde los almacenas y con quién los compartes. Parra señala que la falta de claridad sobre esto es uno de los errores más frecuentes. Ese inventario es la base del principio de responsabilidad demostrada.

2. Audita cómo obtienes el consentimiento. Revisa si usas casillas premarcadas o mecanismos que no corresponden a la naturaleza del dato. Si tratas datos sensibles —biometría, salud—, la ley exige consentimiento expreso y por escrito, y necesitas poder acreditarlo con evidencia verificable. El caso FAN ID se sancionó exactamente por eso.

3. Define tu protocolo de incidentes antes de que ocurra. Identificar oportunamente un incidente, evaluar sus consecuencias y comunicar a las personas afectadas requiere un procedimiento escrito y ensayado. Parra lo dice sin rodeos: la preparación anticipada marca la diferencia entre una contingencia controlada y una crisis con consecuencias legales, económicas y reputacionales.

Un cuarto punto que suele subestimarse es el factor humano. Las vulneraciones no siempre vienen de ataques sofisticados, sino de ingeniería social, errores de los trabajadores o falta de capacitación. Conviene combinar medidas técnicas, físicas y administrativas con programas de formación continua.

Conclusión

México pasó de un modelo de supervisión autónoma a uno donde la autoridad opera dentro del Ejecutivo y todavía define sus criterios. Eso genera incertidumbre, pero también una ventana: las empresas que documenten hoy sus tratamientos, ordenen sus consentimientos y capaciten a su equipo estarán mejor posicionadas cuando la doctrina se consolide.

La multa de MXN$42,8 millones a la FMF no fue por un hackeo. Fue por no poder demostrar que el cumplimiento existía en la práctica. Para un founder, esa es la lección más barata de aprender.