Nueva ley de protección de datos 2025: ¿qué cambiar en tu web?

La nueva ley de protección de datos personales en México —la reforma a la LFPDPPP publicada en el Diario Oficial de la Federación el 20 de marzo de 2025 y en vigor desde el 21 de marzo de 2025— endurece las reglas de consentimiento y obliga a revisar el aviso de privacidad, los formularios y el CRM de tu web. No es un cambio cosmético: afecta directamente cómo pides, guardas y usas los datos de tus clientes en internet.

Si tu negocio tiene un sitio con formularios de contacto, una tienda en línea, una lista de correos o un CRM donde guardas prospectos, esta reforma te toca. La buena noticia es que ponerte al día no requiere abogados en cada paso: requiere entender qué cambió y revisar, punto por punto, dónde recolectas datos personales. Este artículo está pensado para el mercado mexicano y no sustituye una revisión legal formal, pero te da el mapa para empezar.

¿Qué cambió exactamente con la reforma de 2025?

El cambio de fondo es que el consentimiento se volvió más estricto. Antes, la ley permitía usar los datos para finalidades «compatibles o análogas» a la original sin volver a pedir permiso; esa permisión desapareció. Ahora, si quieres usar los datos de una persona para algo distinto de aquello para lo que los recabaste, tienes que pedir su consentimiento de nuevo.

En términos prácticos, estos son los puntos que más importan a una pyme:

• Consentimiento más estricto. Recabar datos para una finalidad no te autoriza a usarlos para otra. Si captaste un correo para enviar una cotización, no puedes asumir que también autorizó publicidad o compartir su dato con un tercero.
• Adiós a las finalidades «compatibles o análogas». Se elimina esa figura que daba margen para reutilizar datos. Hoy cada finalidad nueva necesita su propio consentimiento.
• Cambia quién vigila. La supervisión en materia de protección de datos pasó del INAI a la Secretaría Anticorrupción y Buen Gobierno. Para ti, lo relevante es que sigue habiendo una autoridad que puede exigir cumplimiento.

¿Por qué esto le importa a tu sitio web?

Porque tu web suele ser el principal punto donde recolectas datos personales, muchas veces sin darte cuenta. Cada formulario de contacto, cada suscripción a newsletter, cada casilla de «acepto» y cada carrito de compra recoge información de personas. Si esas piezas no reflejan las nuevas reglas, tu negocio queda expuesto.

El riesgo no es solo una multa: es la confianza de tus clientes. Cuando alguien te deja su nombre, su teléfono o su tarjeta, espera que lo trates con cuidado. Una web que pide consentimiento con claridad transmite profesionalismo; una que recolecta datos «a ciegas» genera desconfianza y, ahora, incumple la ley.

¿Qué debo revisar en mi web para cumplir?

Empieza por hacer un inventario de todos los lugares donde tu sitio pide datos y revísalos con esta lista. No hace falta rehacer la web; en la mayoría de los casos son ajustes puntuales.

• Tu aviso de privacidad. Debe estar actualizado, ser fácil de encontrar y describir con precisión para qué usas los datos. Si menciona finalidades vagas o «análogas», es momento de corregirlo.
• Los formularios de contacto y suscripción. Cada uno debería explicar para qué se usarán los datos y enlazar al aviso de privacidad en el propio punto de recolección.
• Las casillas de consentimiento. Separa lo necesario (contactarte por tu solicitud) de lo opcional (recibir promociones). No las mezcles en una sola casilla ni las dejes premarcadas.
• Tu CRM y tus listas de correo. Revisa con qué finalidad entraron esos contactos. Si quieres usarlos para algo nuevo —por ejemplo, una campaña distinta—, puede que necesites volver a pedir permiso.
• Las transferencias a terceros. Si compartes datos con proveedores (una plataforma de email marketing, una pasarela de pago, una agencia), tu aviso debe declararlo y el usuario debe estar informado.

¿Y si manejo datos sensibles o tengo dudas legales?

Aquí conviene ser honestos: si tu negocio maneja datos sensibles —salud, situación financiera detallada, datos de menores, información biométrica— o si operas en un sector muy regulado, este artículo no basta. La reforma marca las líneas generales, pero cada caso tiene matices, y las sanciones por un mal manejo de datos sensibles son mayores.

Cumplir con la ley de datos no es un trámite de una sola vez: es una forma de operar que protege a tus clientes y a tu negocio al mismo tiempo.

En esos casos, lo prudente es apoyarte en un especialista legal en protección de datos para validar tu aviso de privacidad y tus procesos. La inversión es pequeña comparada con el costo de una sanción o de una fuga de datos, y te da tranquilidad para operar. Para el resto de las pymes con formularios y CRM estándar, un buen aviso de privacidad y formularios bien planteados cubren la mayor parte del camino; no necesitas convertirte en experto legal, solo poner orden en dónde y cómo pides los datos.

En resumen

La reforma a la LFPDPPP que entró en vigor el 21 de marzo de 2025 cambió las reglas del consentimiento en México: ya no puedes reutilizar datos para finalidades «análogas» y necesitas pedir permiso específico para cada uso. Para tu web, eso se traduce en revisar tu aviso de privacidad, tus formularios, tus casillas de consentimiento y tu CRM. Son ajustes concretos y alcanzables, no una reingeniería completa.

Si quieres asegurarte de que tu sitio recolecta datos de forma correcta y transmite confianza, en Normandia Web podemos revisar contigo tus formularios, tu aviso de privacidad y tu flujo de datos, y dejarte una web alineada con las nuevas reglas y con la buena impresión que tu negocio merece.