# Checklist de obligaciones de la LFPDPPP > Lista de revisión de las obligaciones de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares que se pueden comprobar desde fuera, cada una con el artículo que la funda. La herramienta interactiva vive en https://c2suite.com/checklist-lfpdppp. Se contesta sí, no o «no lo sé» a cada obligación y devuelve cuántas quedan cubiertas, qué falta y qué averiguar. No pide correo, no registra nada y todo ocurre en el navegador. **No devuelve puntaje, y es deliberado.** Una obligación legal no se promedia: si no hay buzón para solicitudes ARCO, un aviso de privacidad impecable no cubre la mitad de esa falta. Un número sobre 100 diría que una cosa compensa la otra. Por eso se cuenta. **Y no dictamina si alguien cumple.** Dice qué exige la ley y qué contestó quien la usa, con el artículo al lado. Determinar el cumplimiento depende de hechos que esta lista no pregunta y lo resuelve una autoridad, no un formulario. Esto no sustituye asesoría legal. ## La ley que aplica Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el Diario Oficial de la Federación el 20 de marzo de 2025 y en vigor desde el día siguiente, con última reforma publicada el 14 de noviembre de 2025. Sustituyó a la de 2010 y la autoridad dejó de ser el INAI. Texto consultado el 8 de septiembre de 2026 en https://www.diputados.gob.mx/LeyesBiblio/pdf/LFPDPPP.pdf. Las definiciones están en el **artículo 2**, no en el 3: derechos ARCO en su fracción VII, «Días: Días hábiles» en la VIII y «Secretaría: Secretaría Anticorrupción y Buen Gobierno» en la XV. El artículo 3 trata de los límites a los principios por seguridad nacional, orden público y derechos de terceros. ## Las obligaciones que revisa (17) La lista es la misma para todo el mundo: no se acota por tamaño ni por sector, así que ningún bloque puede quedarse sin preguntas. ### El aviso de privacidad (Artículo 15) El artículo 15 enumera seis contenidos mínimos. Están redactados como una lista cerrada, así que se revisan uno por uno contra el aviso que hoy está publicado. - **¿Tu aviso de privacidad dice quién es el responsable y su domicilio?** — Artículo 15, fracción I: La identidad y domicilio del responsable. - **¿Enumera los datos que trata y señala cuáles son sensibles?** — Artículo 15, fracción II: Los datos personales que serán sometidos a tratamiento, identificando aquéllos que son sensibles. - **¿Distingue las finalidades que necesitan consentimiento de las que no?** — Artículo 15, fracción III: Las finalidades del tratamiento, distinguiendo aquéllas que requieren el consentimiento de la persona titular. - **¿Ofrece una forma de limitar el uso o la divulgación de los datos?** — Artículo 15, fracción IV: Las opciones y medios que el responsable ofrezca para limitar el uso o divulgación. - **¿Dice por dónde se ejerce un derecho ARCO?** — Artículo 15, fracción V: Los mecanismos, medios y procedimientos para ejercer los derechos ARCO. - **¿Explica cómo avisará de los cambios al propio aviso?** — Artículo 15, fracción VI: El procedimiento y medio por el cual el responsable comunicará a las personas titulares los cambios al aviso. ### Bajo qué ley está escrito (Artículo 2, fracción XV) La ley cambió en marzo de 2025 y muchos avisos siguen citando la de 2010 y al INAI, que ya no es la autoridad. Es lo más rápido de comprobar y lo que más delata un documento sin revisar. - **¿Tu aviso está escrito bajo la ley de 2025 y no bajo la de 2010?** — Transitorio Segundo, fracción I: La ley vigente es la publicada en el DOF el 20 de marzo de 2025, que abrogó la de 2010. - **¿Nombra a la autoridad correcta, y no al INAI?** — Artículo 2, fracción XV: El INAI se extinguió. La ley define «Secretaría: Secretaría Anticorrupción y Buen Gobierno». ### Atender una solicitud ARCO (Artículos 31 y 34) El plazo corre desde que la solicitud llega, la vea alguien o no. Estas son las piezas que hacen falta para responder dentro de él y poder demostrarlo después. - **¿Tienes un buzón único para solicitudes ARCO, con alguien que lo vigile?** — Artículos 15, fracción V y 31: El aviso debe declarar los mecanismos para ejercer los derechos ARCO, y el plazo del artículo 31 corre desde que se recibe la solicitud. - **¿Registras cada solicitud con su fecha de recepción, el derecho que se ejerce y la fecha de respuesta?** — Artículo 31: El plazo se cuenta desde la recepción, así que la fecha es lo que permite cumplirlo y demostrar que se cumplió. - **¿Sabe tu equipo que el plazo es de veinte días hábiles, y no naturales?** — Artículos 31 y 2, fracción VIII: Veinte días para comunicar la determinación y quince más para hacerla efectiva, ampliables una sola vez. La ley define «Días: Días hábiles». - **¿Hay un procedimiento escrito que diga quién busca los datos, quién decide y quién responde?** — Artículo 31: La ley exige atender la solicitud en plazo; el procedimiento es lo que hace que eso ocurra cuando la persona de siempre está de vacaciones. - **¿Atiendes las solicitudes sin cobrar por el trámite?** — Artículo 34: «El ejercicio de los derechos ARCO es gratuito, solo podrán realizarse cobros para recuperar los costos de reproducción, copias o envío.» - **¿Tienes un criterio para cancelar sin borrar del todo, cuando hay que conservar el dato?** — Artículo 31: La ley contempla el bloqueo del dato antes de su supresión, que encaja con marcar el registro en vez de eliminarlo. ### Consentimiento y datos sensibles (Artículos 7 y 8) El consentimiento tácito basta para lo ordinario, pero los datos sensibles tienen su propia regla y no admite matices. - **Si tratas datos sensibles, ¿obtienes consentimiento expreso y por escrito?** — Artículo 8: «Tratándose de datos personales sensibles, el responsable deberá obtener el consentimiento expreso y por escrito de la persona titular para su tratamiento.» ### Si hay una fuga (Artículo 19) La ley pide informar «de forma inmediata» y no fija un número de horas. Lo que se puede tener listo de antemano es quién decide y quién escribe. - **¿Está decidido de antemano quién determina si una vulneración afecta de forma significativa a las personas?** — Artículo 19: Las vulneraciones que «afecten de forma significativa los derechos patrimoniales o morales» se informan a las personas titulares «de forma inmediata». - **¿Sabes quién redactaría el aviso a las personas afectadas?** — Artículo 19: La comunicación tiene que llegar a tiempo para que las personas puedan defender sus derechos. ## Los tres estados de cada respuesta - **Sí**: la obligación está cubierta. - **No**: falta, y se sabe qué hacer. Sale en la lista de pendientes con la acción concreta. - **No lo sé**: todavía no se sabe si falta algo. Sale en una lista aparte, con dónde mirar para averiguarlo. No se junta con las anteriores porque produciría tareas para cosas que a lo mejor ya están hechas. --- Fuente: https://c2suite.com/checklist-lfpdppp Puedes citar y resumir este contenido atribuyéndolo a C2Suite y enlazando a la URL de origen.