Einhaltung der mexikanischen LFPDPPP
Die mexikanische Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) verpflichtet Organisationen, personenbezogene Daten mit angemessenen Sicherheitsmaßnahmen zu schützen. Erfahren Sie, wie ImmuniWeb Ihnen bei der Compliance hilft.
Einhaltung der LFPDPPP
Das Bundesgesetz zum Schutz personenbezogener Daten in Besitz privater Stellen – Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) – ist das mexikanische Datenschutzgesetz für den privaten Sektor. Ein neues LFPDPPP trat am 21. März 2025 in Kraft und ersetzt das Gesetz von 2010. Der offizielle Text wurde im Diario Oficial de la Federación (DOF) veröffentlicht.
Was ist das LFPDPPP?
Das LFPDPPP regelt, wie Private personenbezogene Daten in Mexiko erheben, nutzen, speichern und übermitteln. Es legt die Grundprinzipien, die Rechte der Betroffenen (die ARCO-Rechte – Auskunft, Berichtigung, Löschung und Widerspruch) sowie die Pflichten der Verantwortlichen fest, einschließlich der Pflicht zum Schutz personenbezogener Daten.
Die Reform von 2025 übertrug die Aufsicht von der inzwischen aufgelösten INAI auf die Secretaría Anticorrupción y Buen Gobierno und verschärfte die Pflichten der Datenverantwortlichen – einschließlich Risikobewertung und Sicherheitsmaßnahmen.
Wer muss die LFPDPPP einhalten?
Das LFPDPPP gilt für jede private Partei – Unternehmen oder Einzelperson – die personenbezogene Daten von Betroffenen in Mexiko verarbeitet, unabhängig von der Größe oder dem Sektor der Organisation. Auch ausländische Organisationen, die personenbezogene Daten von Personen in Mexiko verarbeiten, fallen in den Anwendungsbereich.
Wichtige LFPDPPP-Anforderungen an die Datensicherheit
Aus Sicht der Informationssicherheit liegt die zentrale Verpflichtung in Kapitel II:
- Kapitel II — Grundsätze und Pflichten bei der Verarbeitung personenbezogener Daten.
- Artikel 18 — Die Pflicht, administrative, technische und physische Sicherheitsmaßnahmen zu etablieren und aufrechtzuerhalten, um personenbezogene Daten vor Verlust, unbefugtem Zugriff, Veränderung oder Offenlegung zu schützen. Dies ist das mexikanische Pendant zu Artikel 32 der EU-DSGVO.
- Anwendungssicherheitsperspektive – da die meisten Datenschutzverletzungen durch verwundbare Web- und mobile Anwendungen oder exponierte, internetzugängliche Assets erfolgen, ist die Anwendungssicherheit ein zentraler Bestandteil der erforderlichen technischen Sicherheitsmaßnahmen.
Wie ImmuniWeb Ihnen hilft, die LFPDPPP-Konformität zu erreichen
ImmuniWeb unterstützt Unternehmen bei der Umsetzung und dem Nachweis der gemäß Artikel 18 erforderlichen technischen Sicherheitsmaßnahmen, indem es die Anwendungen und externen Assets sichert, die personenbezogene Daten verarbeiten.
Kapitel II, Artikel 18 – Sicherheitsmaßnahmen
| Anforderung | Was erforderlich ist | ImmuniWeb-Produkte |
|---|---|---|
| Art. 18 | Administrative, technische und physische Sicherheitsmaßnahmen zum Schutz personenbezogener Daten vor Verlust, unbefugtem Zugriff, Veränderung oder Offenlegung. | ImmuniWeb On-Demand, Neuron, Discovery, Continuous |
| App-Daten | Identifizieren und beheben Sie Schwachstellen in Web- und Mobilanwendungen, die personenbezogene Daten verarbeiten. | ImmuniWeb On-Demand, Neuron, MobileSuite, Neuron Mobile |
| Exposure | Erfassen Sie internetexponierte Assets und erkennen Sie geleakte oder exponierte Daten, einschließlich im Dark Web. | ImmuniWeb Discovery (CTEM / ASM / Dark Web Monitoring) |
ImmuniWeb On-Demand und MobileSuite führen Web- und Mobile-Penetrationstests durch; Neuron und Neuron Mobile bieten automatisierte Scans; und ImmuniWeb Discovery erfasst kontinuierlich Ihre Angriffsfläche und überwacht auf Datenlecks – gemeinsam helfen sie Ihnen, die gesetzlich vorgeschriebenen angemessenen Sicherheitsmaßnahmen nachzuweisen.
Warum ist die Einhaltung des LFPDPPP wichtig?
Das LFPDPPP gilt umfassend für jede Organisation, die personenbezogene Daten von Personen in Mexiko verarbeitet. Die Reform von 2025 hat die Pflichten verschärft und die Durchsetzung verstärkt, wobei erhebliche Geldbußen in UMA (Unidad de Medida y Aktualisierung) berechnet werden.
Über die Vermeidung von Strafen hinaus bewahrt der Schutz personenbezogener Daten das Kundenvertrauen und den Markenruf. Der Nachweis robuster technischer Sicherheitsmaßnahmen – einschließlich regelmäßiger Application Testing und Attack-Surface-Monitoring – belegt die Sorgfalt, die die Aufsichtsbehörden erwarten.