Am 20. März 2025 hat Mexiko im Amtsblatt (DOF) ein neues Bundesgesetz zum Schutz personenbezogener Daten im Besitz von Privaten (LFPDPPP) veröffentlicht, das das Gesetz von 2010 ersetzt. Gleichzeitig wurde das Nationale Transparenzinstitut (INAI) aufgelöst. 2026 ist die neue Struktur in Betrieb — und die neue Behörde macht sich bemerkbar.
Das neue Gesetz im Überblick
Das neue LFPDPPP behält die bekannten Grundlagen bei: Datenschutzhinweise (avisos de privacidad), ARCO-Rechte (Auskunft, Berichtigung, Löschung und Widerspruch) sowie die Grundsätze der Rechtmäßigkeit, Einwilligung, Information, Qualität, Zweckbindung, Loyalität, Verhältnismäßigkeit und Rechenschaftspflicht. Wichtige Änderungen sind:
- Eine neue Aufsichtsbehörde anstelle des INAI (siehe unten)
- Geänderte Anforderungen an den Datenschutzhinweis, unter anderem bei den Angaben zu Übermittlungen
- Stillschweigende Einwilligung als Grundregel, mit ausdrücklicher Einwilligung, wo das Gesetz sie verlangt, etwa bei sensiblen Daten
- Rechtsschutz gegen Entscheidungen der Behörde über Amparo-Verfahren vor spezialisierten Gerichten
Die Durchführungsverordnung zum neuen Gesetz steht noch aus; bis dahin sollten Unternehmen sich am Gesetz orientieren und die amtlichen Veröffentlichungen im DOF verfolgen.
Die Secretaría Anticorrupción y Buen Gobierno
Die Aufsichts-, Prüf- und Sanktionsbefugnisse gegenüber der Privatwirtschaft liegen nun beim Ministerium für Korruptionsbekämpfung und gute Regierungsführung (SABG) der Bundesexekutive, über dessen Einheit für den Schutz personenbezogener Daten. Anders als das INAI ist es keine unabhängige Stelle, verfügt aber über weitreichende Befugnisse, die Einhaltung zu überwachen, Verfahren zum Schutz der Rechte zu entscheiden und Bußgelder zu verhängen.
Durchsetzung 2026
Berichte der SABG aus 2026 zeigen, dass die Durchsetzung real ist:
- Nach den von der SABG vorgestellten Zahlen wurden 51 Private wegen Datenschutzverstößen sanktioniert, mit Bußgeldern von insgesamt rund 118,5 Millionen Pesos
- Prüfverfahren — von Amts wegen wie auf Antrag Betroffener — haben 2026 deutlich zugenommen
- Im September 2026 kündigte die SABG Ermittlungen zu Datenbanken mit mehr als 12,9 Millionen Datensätzen an, die auf einer Messaging-Plattform angeboten wurden — gestützt auf ihre Überwachungs- und Prüfbefugnisse nach dem LFPDPPP
Bußgelder werden in UMA-Einheiten berechnet und können sich bei sensiblen Daten verdoppeln.
Ihre Checkliste 2026
- Datenschutzhinweise aktualisieren auf das neue Gesetz und veraltete Verweise auf das INAI entfernen
- Einwilligungsmodell prüfen: wo genügt die stillschweigende Einwilligung, wo braucht es weiterhin eine ausdrückliche?
- ARCO-Prozess testen, einschließlich Fristen und Identitätsprüfung
- Sicherheit stärken und auf Datenpannen vorbereiten — Leaks von Kundendaten sind ein klarer Prüfschwerpunkt
- Auf eine Prüfung vorbereiten: Dokumentation für die SABG bereithalten
Wie ResGuard unterstützt
Der ResGuard Datenschutz-Manager verwaltet ARCO-Anfragen, Datenschutzhinweise, Verarbeitungsverzeichnis und Vorfälle — auch auf Spanisch. Unser externer Datenschutzbeauftragter für Mexiko hilft bei der Anpassung an das neue Gesetz.
Dieser Artikel enthält allgemeine Informationen mit Stand 20. Oktober 2026 und stellt keine Rechtsberatung dar. Quellen: LFPDPPP, veröffentlicht im DOF am 20. März 2025, Mitteilungen der SABG und Presseberichte zu ihren Durchsetzungszahlen 2026.