Después del INAI: ¿quién revisa la protección de datos personales en México?
La desaparición del INAI no eliminó las obligaciones en materia de protección de datos personales. Lo que cambió fue la arquitectura institucional encargada de revisar, verificar y resolver procedimientos. Para empresas, organizaciones y sujetos obligados, la pregunta relevante ya no es sólo “quién sustituyó al INAI”, sino qué autoridad resulta competente según el tipo de responsable y el régimen jurídico aplicable.
En el sector privado, el punto de partida sigue siendo la Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Esta ley regula el tratamiento de datos personales por personas físicas o morales de carácter privado. Para negocios, plataformas, proveedores de servicios, empleadores, comercios electrónicos y consultoras, las obligaciones centrales siguen siendo el aviso de privacidad, consentimiento, finalidades, transferencias, derechos ARCO y medidas de seguridad.
En este nuevo escenario, la Secretaría Anticorrupción y Buen Gobierno asumió funciones vinculadas con protección de datos personales. La propia Secretaría ha comunicado que la protección de datos personales forma parte de sus atribuciones actuales, lo que confirma que no existe un vacío regulatorio para particulares. La autoridad cambió, pero las obligaciones sustantivas permanecen.
El sector público tiene una lógica distinta. La Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados aplica a autoridades, entidades, órganos y organismos de los poderes Ejecutivo, Legislativo y Judicial, órganos autónomos, partidos políticos, fideicomisos y fondos públicos. Por eso, una universidad pública, una dependencia o un organismo gubernamental no se analiza bajo la misma lógica que una empresa privada.
Transparencia para el Pueblo forma parte del nuevo diseño institucional. Fue creado como un organismo público desconcentrado, sectorizado a la Secretaría Anticorrupción y Buen Gobierno, con autonomía técnica y operativa, y con funciones vinculadas al derecho de acceso a la información en la administración pública federal. Esto es importante porque permite distinguir entre transparencia pública, datos personales en sector público y datos personales en sector privado.
Para las empresas, el mensaje es claro: no conviene esperar a que exista una revisión para ordenar el cumplimiento. Los avisos de privacidad deben reflejar la operación real; las bases de datos deben tener finalidades claras; los proveedores tecnológicos deben estar identificados; las transferencias deben documentarse; y las medidas de seguridad deben ser proporcionales al tipo de datos tratados.
En FluxIO ayudamos a identificar qué régimen aplica, actualizar avisos de privacidad, mapear tratamientos de datos personales, revisar encargados y proveedores tecnológicos, ordenar evidencia documental y preparar a la organización frente a posibles revisiones, verificaciones o reclamaciones de titulares.
Víctor Mejía
Maestro en Derecho de las Tecnologías de la Información y Comunicación por INFOTEC y Licenciado en Derecho Internacional por la Universidad Autónoma del Estado de México. Actualmente se desempeña como catedrático en la Universidad Autónoma del Estado de México. Su perfil profesional íntegra experiencia en telecomunicaciones, regulación digital, propiedad intelectual, cumplimiento normativo y protección de datos personales.
