Cumplimiento de protección de datos personales para empresas con operación binacional México y Estados Unidos

Una empresa mexicana con clientes, empleados o proveedores en Estados Unidos, o una empresa estadounidense con operación en México, mueve datos personales entre ambos países de forma casi automática: nómina, CRM, plataformas de recursos humanos, servicios en la nube. Cada uno de esos movimientos activa reglas de protección de datos personales operación binacional que muchas empresas descubren solo cuando ya cometieron un error.

A diferencia de otras materias donde la práctica internacional está más estandarizada, la protección de datos personales en México tiene reglas propias que no se cumplen automáticamente por usar proveedores tecnológicos estadounidenses reconocidos, ni por replicar políticas de privacidad diseñadas para otro país.

Por qué una operación binacional activa reglas especiales de protección de datos personales

Cuando una empresa transfiere datos personales de titulares en México hacia una matriz, filial, proveedor o plataforma tecnológica ubicada en Estados Unidos, esa transferencia queda sujeta a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), sin importar que el receptor esté fuera del territorio mexicano. La ley no distingue entre transferencias nacionales e internacionales para efectos de las obligaciones básicas: en ambos casos, el responsable debe informar al titular y, salvo excepciones específicas, obtener su consentimiento.

LFPDPPP cumplimiento: lo que cambió con la ley vigente desde marzo de 2025

El 20 de marzo de 2025 se publicó en el Diario Oficial de la Federación una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, en vigor desde el día siguiente, que sustituyó a la ley de 2010. Entre los cambios más relevantes para el cumplimiento de LFPDPPP está la desaparición del INAI como autoridad reguladora: desde la entrada en vigor de la nueva ley, la supervisión, vigilancia y sanción en la materia corresponde a la Secretaría Anticorrupción y Buen Gobierno.

La nueva LFPDPPP endureció el régimen sancionador: las multas van de 100 a 320,000 UMA, monto que se duplica en infracciones relacionadas con datos personales sensibles, y contempla penas de hasta cinco años de prisión para quien trate datos personales mediante engaño o con fines de lucro indebido.

Transferencia internacional de datos personales: cuándo necesitas el consentimiento del titular y cuándo no

La LFPDPPP permite realizar transferencias nacionales o internacionales de datos personales sin el consentimiento del titular únicamente en supuestos específicos: entre otros, cuando la transferencia esté prevista en una ley, cuando se realice entre empresas del mismo grupo corporativo que operen bajo políticas comunes de tratamiento de datos, para fines de procuración o administración de justicia, o por razones de seguridad nacional. Fuera de esos supuestos, la transferencia internacional de datos personales requiere el consentimiento expreso o tácito del titular, según el tipo de dato de que se trate.

Para una empresa con matriz en Estados Unidos y subsidiaria en México (o viceversa), la excepción de "mismo grupo corporativo con políticas comunes" suele ser relevante, pero no exime de documentarla correctamente: la relación corporativa y las políticas comunes de tratamiento de datos deben estar acreditadas, no simplemente asumidas.

El aviso de privacidad de tu empresa binacional debe decir esto sobre tus proveedores en Estados Unidos

Cuando una empresa transfiere datos personales a un tercero, sea una matriz, un proveedor o una plataforma tecnológica, debe comunicarle a ese receptor el aviso de privacidad conforme al cual se tratan los datos frente al titular, y asegurarse de que el receptor asuma las mismas obligaciones que el responsable original. El aviso de privacidad de una empresa con operación binacional debe reflejar, con precisión, quién recibe los datos en Estados Unidos, con qué propósito, y bajo qué mecanismo (consentimiento, excepción legal o política de grupo corporativo) se realiza esa transferencia.

Por qué el contrato estándar de tu proveedor en la nube no es suficiente

Muchas empresas asumen que basta con aceptar el contrato de procesamiento de datos (DPA) que ofrecen proveedores como AWS, Google Workspace o Microsoft, diseñado principalmente para cumplir marcos regulatorios como el RGPD europeo o distintas leyes estatales estadounidenses. Esos contratos suelen cubrir parte de los requisitos, pero no todos coinciden con el marco específico de la LFPDPPP vigente desde 2025. Aceptar los términos estándar de un proveedor sin evaluarlos frente a la ley mexicana deja huecos de cumplimiento que rara vez se descubren hasta una auditoría o una queja de un titular.

Cómo revisar el cumplimiento de tu operación binacional antes de que se convierta en un problema

Una revisión seria de cumplimiento en materia de protección de datos personales para una operación binacional debe cubrir, como mínimo:

• El mapeo de qué datos se transfieren entre México y Estados Unidos y bajo qué mecanismo legal.
• La actualización del aviso de privacidad conforme a la LFPDPPP vigente.
• La revisión de los contratos con proveedores tecnológicos frente a los requisitos específicos de la ley mexicana.
• La documentación de las políticas comunes de grupo corporativo cuando la transferencia se sostenga en esa excepción.

En Flint Consulting® acompañamos a empresas con operación en México y Estados Unidos a revisar su cumplimiento en materia de protección de datos personales, incluyendo transferencias internacionales y avisos de privacidad binacionales. Si tu empresa mueve datos personales entre ambos países y no ha revisado su cumplimiento desde la entrada en vigor de la nueva LFPDPPP, conversemos.

¿Quieres saber más?
connect@flintconsulting.mx | +52 81 1351 8242 | flintconsulting.mx