La LFPDPPP —Ley Federal de Protección de Datos Personales en Posesión de los Particulares— es la ley que regula qué pueden y qué deben hacer las empresas mexicanas con los datos personales de sus clientes, empleados y proveedores. Casi todo lo que se escribe sobre ella habla de avisos de privacidad y derechos ARCO. Muy poco se habla del momento donde más empresas la incumplen sin darse cuenta: cuando dan de baja sus computadoras, servidores y discos. Esta guía explica lo esencial de la ley y aterriza esa parte, que es la nuestra. (Es una guía informativa, no asesoría legal.)
Qué es la LFPDPPP y cuál versión está vigente
La LFPDPPP original se publicó el 5 de julio de 2010 y durante quince años fue el marco de protección de datos del sector privado en México. En marzo de 2025 se publicó una nueva LFPDPPP que la sustituye, como parte de la reforma que extinguió al INAI: la vigilancia de la ley pasó a la autoridad de la administración federal. Para efectos prácticos de una empresa, los principios de fondo se mantienen: consentimiento, aviso de privacidad, finalidad, proporcionalidad, deber de seguridad y responsabilidad del que trata los datos.
Dos ideas de esa lista importan especialmente para este artículo: el principio de finalidad (los datos solo se conservan mientras sirven al propósito para el que se recabaron) y el deber de seguridad (proteger los datos durante todo su ciclo de vida). Juntas producen una obligación que casi nadie asocia con "protección de datos": la supresión — eliminar los datos de forma efectiva cuando ya no son necesarios.
El punto ciego: los datos personales viven en hardware
Cuando se piensa en datos personales se piensa en sistemas y bases de datos. Pero cada base de datos vive en un medio físico: el servidor de nómina, la laptop del vendedor con su cartera de clientes, el disco del punto de venta, la copiadora que digitaliza expedientes y guarda copia en su disco interno. En el momento en que ese equipo se da de baja, la base de datos no desaparece: cambia de lugar. Y la responsabilidad de la empresa sobre esos datos no termina con la baja contable del activo.
El escenario típico de incumplimiento no es un hackeo: es una bodega. Equipo retirado que se acumula "mientras se decide qué hacer", se vende a un comprador informal o se entrega a un reciclador sin evidencia de qué pasó con los discos. Si esos datos aparecen después, la empresa sigue siendo la responsable del tratamiento — y haber formateado no la protege, porque formatear no borra la información.
Qué exige la ley al dar de baja equipo, en concreto
Traducido a operación, cumplir la LFPDPPP en una baja de equipo significa cuatro cosas:
- Suprimir de verdad. Un método efectivo sobre cada medio de almacenamiento: sobrescritura verificada o, para bajas definitivas, destrucción física del medio. Ni formateo ni "restablecer de fábrica" en discos de equipo corporativo.
- Poder demostrarlo. La evidencia es tan importante como el acto: un certificado de destrucción por número de serie, con método, fecha y responsable, es la prueba de supresión que se presenta en una auditoría o ante la autoridad.
- Custodiar el trayecto. Entre tu oficina y la destrucción, los discos son datos personales en tránsito: la cadena de custodia documentada (acta de recolección, pesaje, responsable) cierra ese hueco.
- No confundir residuo con dato. Reciclar el equipo conforme a la NOM-161-SEMARNAT resuelve la obligación ambiental; no dice nada de la información. Son dos cumplimientos distintos que la misma baja de equipo debe satisfacer.
Bloqueo, supresión y destrucción: las tres etapas aplicadas al disco duro
El ciclo de vida que la ley dibuja para un dato personal tiene tres momentos, y conviene mapearlos al hardware porque es donde se confunden:
- Bloqueo. El dato ya cumplió su propósito pero todavía corre un plazo legal de conservación (fiscal, laboral, mercantil). Bloqueado significa que solo se conserva para responder a esas obligaciones — no que el disco se guarde en un cajón sin control. Un medio en etapa de bloqueo sigue siendo responsabilidad de la empresa y sigue exigiendo seguridad.
- Supresión. Vencido el plazo, el dato debe eliminarse de forma efectiva. Aquí es donde el formateo, el "restablecer de fábrica" y el borrado casero no cuentan: la supresión debe ser irreversible.
- Destrucción del medio. Para equipo que sale de la empresa para siempre, la forma verificable de suprimir es destruir físicamente el medio y documentarlo. El fragmento y el certificado por número de serie son la prueba de que la supresión ocurrió.
¿Y qué evidencia se presenta si la autoridad en materia de protección de datos, un auditor o un cliente la pide? La misma en los tres casos: el certificado de destrucción por número de serie, la cadena de custodia del medio desde que salió de tu sitio y el expediente que los junta. Una carta del proveedor diciendo "todo se destruyó" no identifica ningún dato ni ningún disco: no acredita la supresión de nada.
Si tu empresa maneja datos sensibles —expedientes de salud, información biométrica, historiales financieros— este mapa deja de ser teoría: son los casos donde la ley agrava las sanciones y donde un auditor pide el expediente disco por disco.
Las multas (y por qué el número exacto importa menos de lo que crees)
Las sanciones de la ley se calculan en múltiplos de la UMA y en los supuestos graves pueden alcanzar el equivalente a decenas de millones de pesos; si los datos comprometidos son sensibles —salud, biometría, finanzas personales— las multas pueden duplicarse. Pero el costo que más duele rara vez es la multa: es explicarle a tus clientes que sus datos aparecieron en un disco vendido en un mercado de segunda mano, con el daño reputacional y los reclamos que siguen. Contra ese escenario, un certificado de destrucción cuesta una fracción despreciable.
Cómo se ve el cumplimiento bien hecho
Una política de baja de equipo que resiste auditoría cabe en cuatro líneas: inventario de todo medio de almacenamiento que sale (incluidos los que no parecen discos: copiadoras, celulares, cintas, USB); destrucción certificada de cada medio, por número de serie; cadena de custodia desde el sitio hasta la destrucción; y expediente que junte certificado, acta y constancia de disposición final. Es exactamente el flujo de nuestro servicio de destrucción certificada de datos en Tijuana y Baja California — y si la baja incluye equipo con valor, la misma operación te lo valúa y te lo compra.
En resumen
La LFPDPPP no es solo el aviso de privacidad del sitio web: es una obligación que sigue a los datos hasta el último disco duro que tu empresa desecha. La versión 2025 de la ley mantiene el fondo: los datos se suprimen cuando dejan de ser necesarios, y hay que poder demostrarlo. Si tienes equipo en baja con información dentro, te ayudamos a cerrar el ciclo con evidencia — destrucción certificada por número de serie y expediente completo.