Nueva LFPDPPP 2025: qué cambia en tu cabina

Qué es la nueva ley y a quién le toca vigilarla

Nueva LFPDPPP 2025: qué cambia en tu cabina. La nueva LFPDPPP 2025 es la ley que regula cómo se protegen los datos personales que tienen los particulares, es decir, también los negocios como el tuyo. Se publicó en el Diario Oficial de la Federación (DOF) el 20 de marzo de 2025 y entró en vigor al día siguiente.

Esta ley no es un simple parche: abroga, o sea deja sin efecto, la que regía desde 2010. Eso significa que lo que tenías claro de la ley anterior ya no es tu punto de partida y conviene revisarlo con calma.

Además, el texto no se quedó quieto después de publicarse. La versión consolidada, que reúne la ley con sus cambios, tiene como última reforma la del DOF del 14 de noviembre de 2025. Por eso, cuando consultes la ley, asegúrate de leer la versión actualizada y no una copia vieja.

Ahora, ¿a quién le toca vigilar que se cumpla? La autoridad es la Secretaría Anticorrupción y Buen Gobierno. En la práctica, es la dependencia a la que corresponde supervisar que quienes manejan datos personales, tú incluida, lo hagan como marca la ley.

• La ley vigente es la publicada el 20 de marzo de 2025, y reemplaza a la de 2010.
• Su versión consolidada llega hasta la reforma del 14 de noviembre de 2025.
• La encargada de vigilarla es la Secretaría Anticorrupción y Buen Gobierno.

Datos sensibles: lo que anotas en la ficha de tu clienta

Cuando tu clienta te llena la ficha, no solo te da su nombre y su teléfono. Muchas veces también te cuenta si tiene alergias, si está embarazada, si toma algún medicamento o si tiene una condición en la piel. Esos datos no pesan lo mismo que los demás, y la ley los trata aparte.

La nueva ley, en su artículo 2, fracción VI, llama datos sensibles a los que tocan la parte más íntima de una persona, o cuyo mal uso puede traerle discriminación o un riesgo grave. Entre los ejemplos que da la propia ley está el estado de salud, tanto el de hoy como el que pudiera tener más adelante.

Eso importa en tu cabina porque el historial de salud de tu clienta cae justo en esta categoría. Lo que le preguntas antes de un tratamiento para cuidar su piel y su seguridad es, a los ojos de la ley, información delicada.

Piénsalo en términos prácticos. No es lo mismo guardar el nombre de una clienta que guardar el dato de una enfermedad que ella prefiere mantener en privado. Si ese tipo de información llegara a manos equivocadas, podría perjudicarla, y de eso trata la definición de dato sensible.

Una buena costumbre es revisar tu ficha y preguntarte qué pides y para qué lo pides. Si hay datos de salud que anotas, sabes que son de los que la ley considera más delicados y que conviene tratarlos con más cuidado que el resto.

Consentimiento por escrito y cómo se retira

Cuando en tu cabina recabas datos sensibles de una clienta, no basta con que ella te los diga de palabra o con que no se oponga. La ley exige un consentimiento expreso y por escrito. Eso significa que ella debe manifestar de forma clara que está de acuerdo, y que esa aceptación debe quedar en un documento.

La firma puede hacerse de tres maneras: con firma autógrafa, es decir, la que ella pone de su puño y letra; con firma electrónica; o con otro mecanismo de autenticación. Así, si trabajas con papel, un formato firmado cumple. Si prefieres llevar todo en una tableta o en un sistema digital, también puedes recabar el consentimiento por esa vía, siempre que el mecanismo permita autenticar a quien lo da.

Lo segundo que debes tener presente es que ese consentimiento no es un compromiso para siempre. Tu clienta puede retirarlo en cualquier momento, sin tener que dar explicaciones largas ni esperar a que pase cierto tiempo.

Retirarlo tiene un límite que conviene explicarle: no tiene efectos retroactivos. Es decir, lo que se hizo con sus datos mientras el consentimiento estaba vigente no se considera indebido por el simple hecho de que ella lo revoque después. Lo que cambia es lo que sigue a partir de ese momento.

Para que esto funcione, los mecanismos para retirar el consentimiento deben estar señalados en tu aviso de privacidad. Por eso, revisa que ahí diga de forma clara cómo puede hacerlo una clienta que cambió de opinión.

Fotos de antes y después: qué dice y qué no dice la ley

Si te preguntas qué dice la ley sobre las fotos de antes y después de tus tratamientos, la respuesta honesta empieza por lo que no dice: la LFPDPPP no menciona por su nombre las fotografías. No hay un artículo que diga «las fotos de tus clientas son datos personales» ni uno que diga lo contrario.

Entonces, ¿por qué se habla tanto de ellas? Porque la conclusión de que una foto sí cuenta como dato personal se razona a partir de la definición de «identificable». La idea es sencilla: si con esa imagen se puede reconocer a la persona, el criterio razonable es tratarla como un dato personal.

Conviene tener claro qué tipo de afirmación es esta. No es una regla expresa de la ley, sino un razonamiento que se apoya en cómo la ley define lo identificable. Por eso es mejor hablar de un criterio razonable que de una obligación escrita con todas sus letras.

• La ley no nombra las fotos, así que no esperes encontrar una instrucción puntual sobre ellas.
• Si en la imagen se puede identificar a la clienta, lo prudente es tratarla como dato personal.
• Esa conclusión viene de razonar la definición de «identificable», no de un texto que lo diga directamente.

Cualquier detalle más fino sobre cómo manejar las fotos de tu cabina queda fuera de lo que aquí se puede afirmar con certeza.

Derechos ARCO y multas: lo que te puede costar no ajustarte

Los derechos ARCO son los que tiene cualquier persona para acceder a sus datos, rectificarlos, cancelarlos u oponerse a que los uses. En tu cabina, eso significa que una clienta puede pedirte que le muestres qué tienes anotado de ella, que corrijas un dato equivocado o que dejes de usar su información. Lo primero que debes saber es que atender esa solicitud no te da derecho a cobrar nada: el ejercicio de estos derechos es gratuito.

También hay plazos que cumplir. Una vez que la clienta hace su solicitud, tienes 20 días hábiles para responderle, y 15 más para hacer efectivo lo que ella pidió. Conviene tener claro quién recibe esas solicitudes en tu negocio y cómo las vas a registrar, para no dejar pasar los tiempos.

Ahora, lo que te puede costar no ajustarte. Las multas previstas van de 100 a 160,000 UMA, o de 200 a 320,000 UMA, según el caso. Y hay un agravante que pesa mucho en un negocio de estética: si los datos involucrados son sensibles, la sanción puede incrementarse hasta dos veces.

• Atender las solicitudes ARCO sin cobrar por ello.
• Responder en 20 días hábiles y hacer efectivo lo solicitado en 15.
• Recordar que las multas pueden ir de 100 a 160,000 UMA o de 200 a 320,000 UMA, y subir hasta dos veces si hay datos sensibles.

Si te interesa cómo cobrar una limpieza facial, lee Cuánto cobrar por una limpieza facial: cómo sacar tu precio.