Page traduite et vérifiée automatiquement. La version anglaise fait foi. Certaines parties restent en anglais le temps que leur traduction soit vérifiée. Voir en anglais · Signaler une erreur de traduction

Réglementations › Reste du monde › Mexique

LFPDPPP

Loi fédérale sur la protection des données personnelles détenues par les particuliers

En vigueur vie privée

QuandEn vigueur depuis le 21 mars 2025

Qui en assure l’applicationSecrétariat à la lutte contre la corruption et à la bonne gouvernance (SABG)

À qui elle s’appliqueParticuliers et entreprises qui effectuent un traitement de données personnelles au Mexique.

Informer le régulateurAucune obligation de notifier le régulateur DPO requisChaque responsable du traitement doit désigner une personne ou un service de protection des données chargé de traiter les demandes ARCO… EnregistrementAucun enregistrement ni aucune notification des bases de données auprès du régulateur Transferts à l’étrangerLes transferts nationaux et internationaux nécessitent un consentement recueilli au moyen de l’avis de confidentialité, sauf exceptions énumérées Délai de réponse aux demandesRépondre dans un délai de 20 jours ouvrables et donner suite dans un délai de 15 jours ouvrables Amende maximaleJusqu’à 320,000 UMA (environ MXN 36 millions, soit à peu près USD 2 M), doublé pour les données sensibles, plus un…

If you already comply with

81%

of Mexico's 21 requirements are already met by European Union (GDPR). Here is what LFPDPPP adds, biggest gaps first.

Base légalePortée et base légaleBig gap

GDPR1 Six lawful bases, including consent, contract, legal obligation, vital interests, public task and legitimate interests.

LFPDPPP adds3 Consent is the default basis; processing without consent only under listed exceptions (law, public sources, legal relationship, emergency, health care, court order). No legitimate interests. Arts. 7, 9 · source ↗

DPO requisGouvernanceBig gap

GDPR1 DPO required for public bodies, large-scale systematic monitoring, or large-scale special-category or criminal data processing.

LFPDPPP adds3 Every controller must designate a person or data protection department to handle ARCO requests and promote data protection internally. Art. 29 · source ↗

ConservationGouvernanceGap

GDPR1 Storage limitation: keep identifiable data no longer than necessary; erase when no longer needed.

LFPDPPP adds2 Data must be blocked, then deleted, once purposes end; records of contractual defaults must be deleted after 72 months. Arts. 2(III), 10, 24 · source ↗

Responsabilité pénaleApplicationGap

GDPR1 Member States set other penalties, including criminal penalties, for infringements not subject to administrative fines.

LFPDPPP adds2 Imprisonment of 3 months to 3 years for profit-driven breaches by authorized persons and 6 months to 5 years for deceptive processing; doubled for sensitive data. Arts. 62-64 · source ↗

Already covered by GDPR: Reach abroad, Consent, Sensitive data, Children, Rights, Request deadline, Marketing, DPO qualifications, Registration, DPIA, Records, Tell the regulator, Tell people, Transfers abroad, Localization, Maximum fine, Private action.

A gap means LFPDPPP is more demanding than GDPR on that requirement, on our 0 to 3 scale (how we score). Read the cited section before acting. Not legal advice.

Bibliothèque des réglementations

Toutes les lois des États américains sur la vie privée, sur une seule carte

24 États disposent d’une loi générale sur la vie privée dans la bibliothèque, aux côtés des lois de l’UE, du Royaume-Uni, des lois fédérales américaines et des lois du reste du monde : 102 au total, chacune expliquée en termes simples avec ses sources. Sélectionnez un État pour voir ce qui s’y applique.

Explorer la carte Suivre Regulatory Watch

En vigueur
Entrée en vigueur prochaine
Lois sectorielles

AK ME VT NH WA ID MT ND MN IL WI MI NY RI MA OR NV WY SD IA IN OH PA NJ CT CA UT CO NE MO KY WV VA MD DE AZ NM KS AR TN NC SC DC OK LA MS AL GA HI TX FL