Derecho fiscal
LFPDPPP 2026: impacto real en despachos contables
Análisis editorial de la LFPDPPP actualizada: obligaciones de tratamiento, aviso de privacidad, derechos ARCO y seguridad para despachos contables mexicanos.
LFPDPPP actualizada: lo que todo despacho contable debe saber hoy
No es la primera vez que la Ley Federal de Protección de Datos Personales en Posesión de los Particulares se reforma, pero el momento es relevante: los despachos contables operan en una intersección particularmente sensible, donde la información fiscal, patrimonial, contractual y de salud de sus clientes convive en bases de datos que muy frecuentemente no cuentan con un programa de privacidad maduro. La ley no distingue entre un corporativo tecnológico y un despacho de diez personas: un despacho que trata datos personales de clientes, empleados o terceros es sujeto regulado.
La tesis de este análisis es directa: la LFPDPPP, en su versión vigente, impone a los despachos contables un esquema de cumplimiento estructurado en tres ejes que se retroalimentan —principios de tratamiento, gestión del aviso de privacidad y administración de los derechos ARCO— cuyo incumplimiento abre la puerta a procedimientos ante la Secretaría Anticorrupción y Buen Gobierno con resoluciones vinculantes y, en último término, a juicios de amparo promovidos por el propio titular agraviado. Ignorar esta arquitectura normativa ya no es una opción viable.
La actualización más notoria en el texto vigente es la sustitución de la referencia supletoria al Código de Comercio por el Código Nacional de Procedimientos Civiles y Familiares, tal como lo consigna expresamente LFPDPPP art. 4 en su párrafo reformado (DOF 14-11-2025, reflejado en el corpus). Ese solo cambio rediseña el marco adjetivo aplicable a los procedimientos de protección de derechos y de verificación, lo que tiene consecuencias prácticas en la forma de articular defensas y en la supletoriedad que puede invocar el responsable.
1. El perímetro de aplicación: quién queda dentro y quién queda fuera
LFPDPPP art. 1 define el objeto de la ley con precisión: "la protección de los datos personales en posesión de los particulares, con la finalidad de regular su tratamiento legítimo, controlado e informado, a efecto de garantizar la privacidad y el derecho a la autodeterminación informativa de las personas". Las excepciones son taxativas: sociedades de información crediticia en los supuestos de su ley especial, y personas que recolecten datos para uso exclusivamente personal sin fines de divulgación o utilización comercial.
Un despacho contable no cabe en ninguna de esas excepciones. LFPDPPP art. 2, fracción XVI define a los "sujetos regulados" como "personas físicas o morales de carácter privado que llevan a cabo el tratamiento de datos personales", y la fracción XIX precisa que "tratamiento" comprende cualquier operación relacionada con la "obtención, uso, registro, organización, conservación, elaboración, utilización, comunicación, difusión, almacenamiento, posesión, acceso, manejo, aprovechamiento, divulgación, transferencia o disposición de datos personales". La nómina de un cliente es tratamiento. Su declaración anual es tratamiento. El expediente del socio en la carpeta compartida del servidor es tratamiento.
La definición de "datos personales sensibles" en LFPDPPP art. 2, fracción VI es especialmente relevante para la práctica contable: incluye, de manera enunciativa, "estado de salud presente o futuro, información genética, creencias religiosas, filosóficas y morales, opiniones políticas y preferencia sexual". Un despacho que procesa incapacidades médicas para efectos de IMSS, o que gestiona deducciones personales que involucran gastos médicos, está manejando datos sensibles con todas las cargas adicionales que ello implica.
2. Los ocho principios: el estándar de conducta exigible
LFPDPPP art. 5 condensa el núcleo deontológico de la ley en ocho principios: "licitud, finalidad, lealtad, consentimiento, calidad, proporcionalidad, información y responsabilidad en el tratamiento de datos personales". No son aspiraciones programáticas; son obligaciones de resultado cuyo cumplimiento recae enteramente en el responsable.
LFPDPPP art. 13 traduce esa responsabilidad en términos operativos: "el responsable velará por el cumplimiento de los principios de protección de datos personales establecidos por esta Ley, debiendo adoptar las medidas necesarias y suficientes para su aplicación, así como para garantizar que el aviso de privacidad dado a conocer a la persona titular, sea respetado en todo momento por él o por terceros con los que guarde alguna relación jurídica". Nótese que la obligación se extiende a terceros vinculados jurídicamente con el despacho: proveedores de nube, plataformas de contabilidad electrónica, servicios de mensajería de documentos. Todos ellos quedan bajo el radio de responsabilidad del despacho como responsable.
El principio de calidad, desarrollado en LFPDPPP art. 10, agrega una dimensión temporal crítica: "el responsable procurará que los datos personales contenidos en las bases de datos sean exactos, completos, correctos y actualizados para los fines para los cuales fueron recabados", y establece que cuando los datos "hayan dejado de ser necesarios para el cumplimiento de las finalidades previstas en el aviso de privacidad (…) deberán ser suprimidos previo bloqueo". El mismo artículo fija un plazo específico para datos relativos a incumplimiento de obligaciones contractuales: setenta y dos meses contados desde la fecha del incumplimiento. Para un despacho que conserva historial de cobranza de honorarios, este dato es accionable de inmediato.
3. El aviso de privacidad: contenido mínimo no negociable
LFPDPPP art. 14 establece la obligación informativa de base: el responsable debe informar a la persona titular "a través del aviso de privacidad, la existencia y características principales del tratamiento al que serán sometidos sus datos personales, a fin de que pueda tomar decisiones informadas al respecto". LFPDPPP art. 15 desarrolla el contenido mínimo en seis fracciones: identidad y domicilio del responsable; datos que serán tratados, identificando los sensibles; finalidades del tratamiento distinguiendo las que requieren consentimiento; opciones para limitar uso o divulgación; mecanismos para ejercer derechos ARCO; y procedimiento para comunicar cambios al aviso.
La forma de entrega también está regulada. LFPDPPP art. 16 distingue según el canal de obtención: si los datos se recaban personalmente mediante formatos impresos, el aviso se entrega en ese momento; si se recaban por medios electrónicos u ópticos, basta una versión simplificada que contenga las primeras cuatro fracciones del art. 15, señalando dónde consultar el aviso integral. Para despachos que incorporan clientes vía formularios web o plataformas digitales, esta distinción define el diseño mínimo del flujo de onboarding.
LFPDPPP art. 11 cierra el sistema: "si el responsable pretende tratar los datos para una finalidad distinta a las establecidas en el aviso de privacidad, se requerirá obtener nuevamente el consentimiento de la persona titular". En términos prácticos, un despacho que comienza a ofrecer un nuevo servicio —por ejemplo, asesoría patrimonial o gestión de nómina— sobre la base de datos captados para auditoría fiscal, necesita recabar consentimiento específico antes de cruzar esa frontera.
4. Seguridad de la información: el piso mínimo y la notificación de brechas
LFPDPPP art. 18 establece la obligación de seguridad en términos amplios pero exigentes: "todo responsable deberá establecer y mantener medidas de seguridad administrativas, técnicas y físicas que permitan proteger los datos personales contra daño, pérdida, alteración, destrucción o el uso, acceso o tratamiento no autorizado". El artículo agrega un parámetro comparativo relevante: "los responsables no adoptarán medidas de seguridad menores a aquellas que mantengan para el manejo de su información", lo que convierte el estándar interno del propio despacho en un piso normativo.
La obligación de confidencialidad se extiende hacia el capital humano. LFPDPPP art. 20 exige que el responsable "establezca controles o mecanismos que tengan por objeto que todas aquellas personas que intervengan en cualquier fase del tratamiento de datos personales, guarden confidencialidad respecto de estos, obligación que subsistirá aun después de finalizar sus relaciones con el mismo". Esto implica cláusulas contractuales de confidencialidad para empleados y colaboradores externos, y que esas cláusulas sobrevivan a la terminación laboral.
Cuando ocurre un incidente, LFPDPPP art. 19 ordena notificación inmediata al titular cuando la vulneración "afecte de forma significativa los derechos patrimoniales o morales de las personas titulares". La norma no define plazos fijos en días, pero el adverbio "inmediata" es claro en su intención: no hay margen para esperar a evaluar el impacto reputacional antes de informar.
5. Transferencia de datos: el régimen contractual que los despachos suelen ignorar
LFPDPPP art. 35 regula la transferencia a terceros con una lógica de continuidad: el responsable debe comunicar al tercero receptor "el aviso de privacidad y las finalidades a las que la persona titular sujetó su tratamiento", y ese tercero "asumirá las mismas obligaciones que correspondan al responsable que transfirió los datos". Cuando un despacho comparte información de clientes con un estudio jurídico para un litigio fiscal, o con un actuario para una valuación, esa transferencia queda dentro de este régimen.
LFPDPPP art. 36 lista los supuestos en que la transferencia puede ocurrir sin consentimiento del titular. Para los despachos, las fracciones más relevantes son la I (cuando la transferencia está prevista en una ley o tratado), la IV (cuando sea necesaria por virtud de un contrato en interés del titular) y la VII (cuando sea precisa para el mantenimiento o cumplimiento de una relación jurídica entre el responsable y el titular). Estas excepciones no son cheques en blanco: cada transferencia debe poder encuadrarse puntualmente en uno de los supuestos, con documentación que lo acredite.
¿Qué plazos concretos rigen el ejercicio de derechos ARCO?
LFPDPPP art. 31 establece el esquema de tiempos con precisión: el responsable dispone de un plazo máximo de veinte días —hábiles, conforme a la definición de LFPDPPP art. 2, fracción VIII— contados desde la recepción de la solicitud para comunicar la determinación adoptada; si la respuesta es favorable, el responsable tiene quince días adicionales para hacerla efectiva. Ambos plazos pueden ampliarse por una sola ocasión y por un periodo igual, siempre que las circunstancias lo justifiquen.
LFPDPPP art. 34 regula el costo del ejercicio: los derechos ARCO son gratuitos en su ejercicio; solo pueden cobrarse costos de reproducción, copias o envío. Cuando la persona titular proporciona el medio magnético o electrónico, los datos deben entregarse sin costo. Para solicitudes reiteradas del mismo titular en periodos menores a doce meses, los costos no podrán exceder tres veces la Unidad de Medida y Actualización vigente, salvo modificaciones sustanciales al aviso de privacidad. LFPDPPP art. 29 obliga al responsable a designar una persona o departamento específico que dé trámite a estas solicitudes —una función que en la mayoría de los despachos no existe formalmente.
¿Qué ocurre si el despacho no responde a tiempo y el titular escala ante la Secretaría?
LFPDPPP art. 40 regula el inicio del procedimiento de protección de derechos: la solicitud debe presentarse ante la Secretaría dentro de los quince días siguientes a la fecha en que el responsable comunique su respuesta. Si no hay respuesta, el titular puede acudir a la Secretaría una vez vencido el plazo que tenía el responsable para contestar. LFPDPPP art. 42 fija un plazo máximo de cincuenta días para que la Secretaría emita resolución, prorrogable por igual periodo con causa justificada.
Si la resolución es favorable al titular, LFPDPPP art. 43 concede al responsable diez días para hacer efectivo el derecho protegido y otros diez para reportar el cumplimiento por escrito a la Secretaría. LFPDPPP art. 50 agrega que, cuando la improcedencia del silencio del responsable quede acreditada en el procedimiento, todos los costos de reproducción y envío corren por cuenta del responsable, sin costo alguno para el titular. En última instancia, LFPDPPP art. 51 habilita el juicio de amparo contra las resoluciones de la Secretaría, sustanciado ante jueces y tribunales especializados conforme al artículo 94 constitucional.
Cierre: agenda accionable para el despacho contable
El despacho que lee este análisis debe traducirlo en acciones concretas antes de que la próxima revisión de la Secretaría o la primera solicitud ARCO mal atendida lo convierta en el responsable de un expediente. La agenda mínima es la siguiente:
Primero, revisar si el aviso de privacidad vigente cumple con las seis fracciones de LFPDPPP art. 15 e identificar si existe un mecanismo real —no nominal— para comunicar cambios al titular conforme exige esa misma disposición.
Segundo, mapear todas las bases de datos activas y clasificar qué información constituye datos personales sensibles según LFPDPPP art. 2, fracción VI. Los expedientes con información de salud de empleados o clientes requieren un estándar de proporcionalidad reforzado bajo LFPDPPP art. 12.
Tercero, verificar los contratos con proveedores tecnológicos —nubes, ERP, plataformas de facturación— para confirmar que incluyen las cláusulas de confidencialidad y asunción de obligaciones que exigen LFPDPPP art. 20 y LFPDPPP art. 35.
Cuarto, designar formalmente a la persona o departamento de datos personales que prevé LFPDPPP art. 29, con procedimientos escritos para atender solicitudes ARCO dentro de los plazos de LFPDPPP art. 31.
Quinto, establecer un protocolo de notificación de brechas de seguridad que permita cumplir con la inmediatez que exige LFPDPPP art. 19, incluyendo criterios internos para determinar cuándo una vulneración "afecta de forma significativa" los derechos patrimoniales o morales del titular.
La LFPDPPP no es una ley que los despachos contables puedan delegar en el área de sistemas ni en el abogado externo de guardia. Es una ley de gestión de riesgos que exige que el titular del despacho comprenda su lógica y la traduzca en procesos cotidianos. El corpus actualizado en Fiscaly está disponible para consulta artículo por artículo desde hoy.