Guía · Cumplimiento en México

La nueva LFPDPPP en WordPress: qué cambió y cómo cumplir

Templates Rocket · Actualizada en octubre de 2026 · 9 min de lectura

El 20 de marzo de 2025 se publicó en el Diario Oficial de la Federación una Ley Federal de Protección de Datos Personales en Posesión de los Particulares completamente nueva. Entró en vigor al día siguiente y abrogó la ley de 2010. Si tu sitio en WordPress tiene un formulario de contacto, una tienda WooCommerce, un boletín o Google Analytics, esta ley te aplica, y tu aviso de privacidad probablemente quedó desactualizado.

Esta guía resume lo que cambió, citando el artículo de la ley en cada punto, y lo traduce a tareas concretas para un sitio en WordPress.

Lo que cambió, en cinco puntos

1. La autoridad ya no es el INAI

El INAI se extinguió. La autoridad que vigila, verifica y sanciona a los particulares ahora es la Secretaría Anticorrupción y Buen Gobierno (artículo 2, fracción XV). Si tu aviso de privacidad todavía menciona al INAI como la instancia a la que puede acudir el titular, hay que actualizarlo.

2. El consentimiento tácito sigue siendo la regla

El consentimiento debe ser libre, específico e informado (artículo 2, fracción IV). Es tácito cuando pusiste a disposición el aviso de privacidad y la persona no se opuso, y por regla general es válido (artículo 7). Hay dos excepciones importantes:

  • Datos financieros o patrimoniales: requieren consentimiento expreso (artículo 7).
  • Datos sensibles (salud, origen étnico, creencias, preferencia sexual, entre otros): requieren consentimiento expreso y por escrito, mediante firma autógrafa, firma electrónica o un mecanismo de autenticación (artículo 8).

La persona puede revocar su consentimiento en cualquier momento, y tu aviso debe explicar cómo hacerlo (artículo 7).

3. Ya no hay finalidades «compatibles»

Si quieres usar los datos para algo distinto a lo que dice tu aviso de privacidad, necesitas pedir el consentimiento otra vez (artículo 11). Ejemplo típico: recabaste correos para responder cotizaciones y ahora quieres mandarles promociones. Eso es una finalidad nueva.

4. El aviso de privacidad tiene contenido mínimo nuevo

El aviso integral debe incluir, al menos (artículo 15):

  1. La identidad y el domicilio del responsable.
  2. Los datos personales que tratas, señalando cuáles son sensibles.
  3. Las finalidades, distinguiendo las que requieren consentimiento.
  4. Las opciones y medios para limitar el uso o la divulgación de los datos.
  5. Los mecanismos y procedimientos para ejercer los derechos ARCO.
  6. Cómo vas a comunicar los cambios al aviso.

Y cuando los datos se obtienen por medios electrónicos (cualquier formulario web), tienes que dar el aviso en su modalidad simplificada: los puntos 1 a 4 más el enlace al aviso integral (artículo 16, fracción II).

5. Las multas se calculan en UMA

Las sanciones van del apercibimiento a multas de 100 a 160,000 UMA por infracciones como omitir elementos del aviso de privacidad, y de 200 a 320,000 UMA por infracciones como tratar datos sin el consentimiento expreso cuando se exige o incumplir la confidencialidad. Si las infracciones persisten hay una multa adicional, y si hay datos sensibles los montos pueden duplicarse (artículos 58 y 59). Con la UMA de 2026 ($117.31 diarios, vigente desde el 1 de febrero), el tope de 320,000 UMA equivale a unos $37.5 millones de pesos.

Esto no es asesoría legal. Resume la ley para que tomes decisiones informadas. Para tus obligaciones concretas, sobre todo si tratas datos sensibles o financieros, consulta a un abogado. Al cierre de esta guía no encontramos publicado en el DOF un reglamento nuevo para la ley de 2025; algunos procedimientos que la ley remite al reglamento pueden cambiar cuando se publique.

¿Y las cookies?

La LFPDPPP no tiene un artículo específico sobre cookies, a diferencia de la directiva europea. Pero muchas cookies sí tratan datos personales: identificadores únicos, la IP o el comportamiento de una persona identificable. Cuando es así, aplican las reglas generales:

  • Informar antes. El consentimiento tácito sólo vale si el aviso estuvo a disposición antes del tratamiento (artículo 7). Un aviso de cookies visible desde la primera visita, con enlace al aviso de privacidad, cumple esa función.
  • Dar opciones. El aviso debe ofrecer medios para limitar el uso de los datos (artículo 15, fracción IV) y la persona puede revocar su consentimiento cuando quiera (artículo 7). En la práctica: un botón para rechazar y una forma de cambiar la decisión después.
  • Bloquear de verdad. Un banner que muestra «Rechazar» pero deja cargar Google Analytics o el pixel de Meta no da ninguna opción real.

Si además recibes visitas de la Unión Europea, ahí aplica el RGPD, que sí exige consentimiento previo y explícito para cookies no esenciales. La forma limpia de cubrir a las dos audiencias es aplicar la ley según el país de cada visitante.

Lista de tareas para tu WordPress

  1. Inventaria qué datos recabas y dónde. Formularios (Contact Form 7, Gravity Forms, Elementor), WooCommerce, boletines, chats, comentarios y cada script de terceros: Analytics, Meta, Hotjar, Clarity. Cada uno es una fila de tu aviso.
  2. Reescribe tu aviso integral con los seis elementos del artículo 15, señalando los datos sensibles y separando las finalidades que requieren consentimiento. Cambia las menciones al INAI por la Secretaría Anticorrupción y Buen Gobierno.
  3. Pon un aviso simplificado junto a cada formulario: quién eres, qué datos pides, para qué, cómo limitar su uso y el enlace al aviso integral (artículo 16).
  4. Revisa los formularios que piden datos sensibles (citas médicas, expedientes, formularios de salud). Una casilla marcada puede no bastar: la ley pide consentimiento expreso por escrito mediante firma o autenticación (artículo 8).
  5. No reutilices datos para otra finalidad sin pedir consentimiento de nuevo (artículo 11). Si quieres mandar promociones, agrega una casilla aparte y sin marcar.
  6. Abre un canal ARCO (acceso, rectificación, cancelación y oposición) y designa a una persona o área que lo atienda (artículo 29). Tienes 20 días hábiles para responder y 15 días hábiles más para hacerlo efectivo; los dos plazos se pueden ampliar una sola vez (artículo 31).
  7. Instala un aviso de cookies que bloquee los rastreadores hasta que la persona decida, con botón de rechazo y opción de cambiar la decisión después.
  8. Borra lo que ya no necesitas. Los datos que dejaron de servir para las finalidades del aviso deben suprimirse (artículo 10). Revisa entradas viejas de formularios y pedidos antiguos.
  9. Ten un plan para una vulneración de seguridad. Si afecta de forma significativa los derechos de las personas, debes informarles de inmediato (artículo 19).

Cómo resolverlo dentro de WordPress

Cookie Rocket Pro cubre la parte del sitio en un solo plugin:

  • Genera tu aviso de privacidad conforme a la LFPDPPP, en versión integral y simplificada, con la Secretaría Anticorrupción y Buen Gobierno como autoridad.
  • Abre un canal ARCO alojado en tu propio sitio, sin terceros, con su pantalla de gestión.
  • Bloquea los rastreadores hasta que el visitante decida, y registra cada decisión como evidencia.
  • Aplica la ley de cada visitante: LFPDPPP en México, RGPD en Europa, LGPD en Brasil y CCPA en Estados Unidos.

El aviso de cookies que ves en esta página es Cookie Rocket Pro funcionando. Para redactar el tuyo paso a paso, con un modelo para tus formularios, lee Aviso de privacidad para WordPress: qué debe decir y dónde ponerlo.

Fuentes

Ver Cookie Rocket Pro