Protección de datos en la nube en México
La protección de datos en la nube en México se rige desde el 21 de marzo de 2025 por una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el Diario Oficial de la Federación el 20 de marzo de 2025. La autoridad ya no es el INAI, sino la Secretaría Anticorrupción y Buen Gobierno. Para usar un servicio de nube, la ley exige medidas de seguridad y consentimiento escrito para los datos sensibles, y el Reglamento de 2011 fija condiciones a los proveedores de cómputo en la nube.
Protección de datos en la nube en México después de la reforma de 2025
Si llevas un despacho contable en Monterrey o una tienda en línea en Guadalajara y guardas en la nube los datos de tus clientes, la ley que te aplica cambió en 2025. La nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el Diario Oficial de la Federación el 20 de marzo de 2025, entró en vigor al día siguiente y abrogó la de 2010. Esta página aplica al caso mexicano el repaso general sobre los datos personales en servicios en línea.
Lo esencial: tu empresa sigue siendo la responsable de los datos aunque estén en los servidores de otro, el proveedor de nube actúa como persona encargada, tienes que proteger esos datos con medidas de seguridad y, si son sensibles, necesitas el consentimiento expreso y por escrito de cada titular. Es información general: para tu caso concreto, valida las decisiones con un abogado que ejerza en México.
Del INAI a la Secretaría Anticorrupción y Buen Gobierno
La reforma constitucional de «simplificación orgánica», publicada en el DOF el 20 de diciembre de 2024, y las leyes que la desarrollaron en marzo de 2025 hicieron desaparecer el INAI, el instituto que supervisaba los datos personales; su personal pasó a la Secretaría Anticorrupción y Buen Gobierno y a Transparencia para el Pueblo. La nueva ley define a la autoridad como la «Secretaría Anticorrupción y Buen Gobierno» (art. 2, fracción XV) y le atribuye las sanciones (art. 59). Un artículo transitorio precisa que las menciones al INAI en otras leyes y reglamentos se entienden hechas a los entes que asumen sus funciones.
En la práctica, los avisos, guías y trámites que antes estaban en el sitio del INAI deben buscarse ahora en el portal de la Secretaría Anticorrupción y Buen Gobierno, donde la propia Secretaría indica que la protección de datos personales es ahora atribución suya.
Lo que la ley y el Reglamento piden a tu nube
La ley de 2025 no menciona la nube. Las reglas específicas están en el Reglamento de 2011, dictado para la ley anterior. El decreto de 2025 dio al Ejecutivo noventa días para adecuar los reglamentos; a 13 de octubre de 2026 no consta en el DOF un reglamento nuevo y la Cámara de Diputados sigue listando el de 2011 como vigente. Que siga aplicándose es una deducción razonable, no una regla expresa.
| Tema | Dónde está | Qué implica con un proveedor de nube |
|---|---|---|
| El proveedor como encargado | Ley, art. 2, fr. XII y XX | Trata los datos por tu cuenta; enviarle datos no es una transferencia |
| Relación con el proveedor | Reglamento, art. 51 | Cláusulas contractuales u otro instrumento jurídico que acredite su existencia, alcance y contenido |
| Servidores en otro país | Reglamento, art. 53 | Las remisiones nacionales e internacionales al encargado no requieren informar al titular ni su consentimiento |
| Seguridad | Ley, art. 18 | Medidas administrativas, técnicas y físicas según el riesgo, la sensibilidad de los datos y el desarrollo tecnológico |
| Vulneraciones | Ley, art. 19 | Informar de inmediato a los titulares cuando afecten de forma significativa sus derechos patrimoniales o morales |
| Datos sensibles | Ley, arts. 2, fr. VI, y 8 | Consentimiento expreso y por escrito, con firma autógrafa, electrónica u otro mecanismo de autenticación |
| Multas | Ley, art. 59 | De 100 a 160 000 o de 200 a 320 000 veces la UMA según la infracción, con agravantes para los datos sensibles |
Fuentes: LFPDPPP (última reforma DOF 14-11-2025) y Reglamento (DOF 21-12-2011), textos de la Cámara de Diputados consultados el 13 de octubre de 2026.
Si compartes los datos con otra empresa que no trabaja por tu cuenta, por ejemplo un socio comercial, eso sí es una transferencia: debes comunicarle tu aviso de privacidad y las finalidades (art. 35) y, salvo los supuestos del artículo 36, contar con el consentimiento del titular.
La lista de comprobación del artículo 52
Cuando aceptas las condiciones generales de un servicio de cómputo en la nube, el Reglamento solo te permite usarlo si el proveedor cumple estos puntos. Puedes recorrerlos con su política de privacidad y su anexo de tratamiento de datos abiertos:
- Aplica políticas de protección de datos acordes con la ley.
- Transparenta las subcontrataciones que tocan tu información.
- No se atribuye la titularidad o propiedad de lo que guardas.
- Guarda confidencialidad sobre los datos personales.
- Te avisa de los cambios en su política de privacidad o en sus condiciones.
- Te permite limitar el tipo de tratamiento.
- Mantiene medidas de seguridad adecuadas.
- Garantiza la supresión de los datos al terminar el servicio, una vez que los hayas recuperado.
- Impide el acceso a quien no tiene privilegios y te informa si una autoridad pide los datos.
El artículo termina con una frase clara: el responsable «no podrá adherirse a servicios que no garanticen la debida protección de los datos personales». Si un punto no aparece en la documentación del proveedor, pregúntalo por escrito y guarda la respuesta.
Cómo lo resuelve Colombia
En Colombia, la distinción entre enviar datos a un proveedor y cederlos a un tercero también existe, con otro vocabulario: transmisión y transferencia. El repaso de las reglas colombianas para guardar datos en la nube muestra qué contrato exige allí la ley.
Otro país que estrena autoridad
Chile vive su propia transición: la reforma de la Ley 21.719 crea una agencia de protección de datos y entra en vigor el 1 de diciembre de 2026. Las fechas y los cambios están en el caso chileno y su reforma.
Expedientes médicos y otros datos delicados
La ley mexicana considera sensibles, entre otros, el estado de salud presente o futuro, la información genética y las creencias. Un consultorio de Puebla que digitaliza expedientes en la nube debería leer también cómo tratar los datos sensibles en la nube.