Cerrando las brechas de cumplimiento en protección de datos personales

Hemos sido contactados por empresas donde atacantes tuvieron acceso a información confidencial bajo su resguardo. No fueron ataques dirigidos — fueron campañas masivas que explotan configuraciones de seguridad débiles, buscando quién no tiene los controles básicos en orden. En todos los casos, los atacantes podían ver archivos y correos electrónicos con información confidencial de clientes antes de que la empresa notara algo inusual. El sector contable es especialmente susceptible — y las razones son concretas.

El contador público es, por naturaleza de su trabajo, custodio de información altamente sensible: expedientes fiscales, datos patrimoniales, credenciales digitales ante el SAT. Al recibirla y operarla, el despacho adquiere la calidad de responsable en los términos de la Ley Federal de Protección de Datos Personales, con obligaciones legales concretas sobre su resguardo.

La pregunta que pocos se han hecho es simple: ¿cómo estamos cumpliendo con eso?

El Artículo 18 de la LFPDPPP establece que las medidas de seguridad deben ser proporcionales al riesgo existente y al desarrollo tecnológico vigente. No define controles específicos —y lo hace intencionalmente: el estándar evoluciona con el entorno. En 2010, cuando se publicó la ley original, los despachos ya operaban con sistemas digitales y la FIEL ya existía. Lo que no existía con la misma escala ni sofisticación era el riesgo: el CFDI obligatorio multiplicó el volumen de activos digitales bajo custodia, el buzón tributario añadió otro punto de acceso crítico, y las amenazas —ransomware dirigido, robo de credenciales, phishing orientado a contadores pasaron de ser excepcionales a ser cotidianas. Incluso algunos portales como el IMSS exigen configuraciones que debilitan la seguridad de los equipos —un riesgo que no viene del exterior, sino del propio entorno de trabajo.

Un aviso de privacidad firmado era una respuesta razonable al riesgo de 2010. Ya no lo es.

El propósito de este artículo no es generar alarma, sino ofrecer una guía práctica. En el trabajo cotidiano con despachos de distintos tamaños en México, hemos identificado un patrón consistente: la gran mayoría de los socios quieren cumplir correctamente. El problema no es voluntad — es que nadie les ha explicado con claridad qué controles implantar ni cómo demostrarlos ante una revisión. El aviso de privacidad firmado por el cliente cubre el consentimiento, no cubre la evidencia de que los datos están siendo efectivamente protegidos. Las páginas siguientes presentan el Marco de Controles LFPDPPP — un conjunto de medidas de seguridad organizadas en las tres dimensiones que el Artículo 18 establece: administrativas, físicas y técnicas — con el propósito de que cualquier despacho pueda documentar su cumplimiento y demostrarlo ante una revisión de la autoridad.

Las medidas de seguridad administrativas, físicas y técnicas no están totalmente separadas ni son documentos que se archivan una sola vez. Una política administrativa solo tiene valor legal si existe evidencia de que se aplica; una medida técnica solo protege si está configurada en los sistemas que el despacho usa cotidianamente. Aquí entran dos conceptos que cualquier contador reconoce del ámbito fiscal y que aplican con la misma lógica en este contexto: trazabilidad — poder reconstruir quién hizo qué con los datos de un cliente y cuándo — y evidencia — tener los registros que lo demuestran ante una revisión. El marco de controles LFPDPPP más sólido es el que puede demostrar esa alineación en cada nivel.

1. Medidas Administrativas y del Personal

Las medidas administrativas son el punto de partida del marco de controles LFPDPPP. Antes de evaluar cualquier configuración técnica, la autoridad verificará algo más fundamental: que el despacho tiene políticas documentadas, firmadas y activas — no manuales que solo existen en papel, pero no se aplican en la operación diaria.

Política de manejo de credenciales de clientes: Protocolo documentado que regule el ciclo completo de la e.firma, sellos digitales y contraseñas del SAT: recepción, almacenamiento con acceso restringido, uso autorizado y destrucción definitiva al término del encargo. Sin este documento, el despacho no puede demostrar ante la autoridad que tuvo control sobre cuándo y quién accedió a las credenciales de cada contribuyente.

Su contraparte técnica es una bóveda cifrada con acceso restringido por función o persona. No son dos controles independientes — la bóveda es la evidencia de que la política no existe solo en papel.

Inventario de activos digitales por cliente: registro actualizado que identifique qué credenciales custodia el despacho y el repositorio donde se encuentran almacenadas. Este inventario es el punto de partida de cualquier auditoría — sin él, la autoridad asume que no existe gobernanza sobre esos activos.

El valor del inventario, sin embargo, no está solo en la lista: está en su alineación entre el formato firmado por el cliente y su resguardo en una carpeta protegida. Un inventario donde no hay correspondencia entre la aprobación del cliente y la información almacenada es una política con problemas en su ejecución.

Acuerdos de confidencialidad con colaboradores: evidencia física de que todo el personal con acceso a información fiscal o personal de clientes ha firmado un convenio de confidencialidad con efectos legales. Su contraparte técnica es la prevención de pérdida de datos — conocida como DLP (Data Loss Prevention) por sus siglas en inglés — una funcionalidad disponible en las versiones profesionales de plataformas como Microsoft 365 y Google Workspace. Mientras el NDA establece la obligación contractual de no extraer información, el DLP registra o bloquea los intentos de hacerlo — y genera la bitácora que puede presentarse ante la autoridad como evidencia de que el despacho monitoreó activamente el cumplimiento.

Capacitación documentada: evidencia de que el personal recibió entrenamiento en protección de datos y detección de phishing. La evidencia no es el contenido de la capacitación, sino su registro: temario, fecha, nombre del colaborador y firma de recepción. En la práctica, hemos encontrado que el formato más eficiente para despachos es un video de capacitación acompañado de un formulario firmado por el colaborador — permite documentar el control desde el primer día sin depender de la disponibilidad del socio cada vez que entra alguien nuevo.

Procedimiento de baja de accesos: Protocolo documentado que, al término de la relación laboral, incluya la revocación del correo corporativo, el acceso remoto a sistemas del despacho y las aplicaciones corporativas instaladas en dispositivos personales del colaborador, además de la preservación de correos e información relevante antes de cerrar la cuenta.

Este es uno de los controles donde la diferencia entre una política declarada y una política implementada es más evidente — y más fácil de verificar por la autoridad: o existe un registro de que los accesos fueron revocados en una fecha determinada, o no existe.

En las medidas administrativas, esta lógica aplica en su totalidad: cada política vale exactamente lo que puede demostrar — ni más, ni menos.

2. Medidas de Seguridad Física

Esta dimensión es frecuentemente subestimada porque parece obvia, pero es de las más difíciles de sostener: a diferencia de los controles técnicos, no se configura una vez — se practica todos los días, y eso depende de la cultura del despacho.

Política de escritorio limpio: regla operativa que prohíba dejar contraseñas anotadas en papel, post-its, libretas o archivos impresos con información sensible a la vista al finalizar la jornada. De igual forma, cualquier documento impreso con información de clientes debe resguardarse adecuadamente — y cuando ya no sea necesario, destruirse mediante trituradora, no desecharse en basura común.

Control de acceso a equipos y ambientes de trabajo: Los equipos que procesan información de clientes deben tener bloqueo automático de pantalla por inactividad, acceso protegido por contraseña y cifrado de disco duro para evitar la extracción de información en caso de robo o pérdida del equipo. Cuando los equipos se administran centralmente, la configuración se aplica en todos simultáneamente y queda documentada — lo que convierte un control operativo en evidencia auditable.

Control de tokens USB con e.firma: La práctica recomendada es almacenar las e.firmas en carpetas digitales con acceso controlado — son más fáciles de administrar, respaldar y auditar que los tokens físicos. Cuando el cliente entrega la e.firma en USB, los archivos se copian a la carpeta segura correspondiente y el dispositivo se devuelve al cliente. Si el token queda en custodia del despacho, debe ser borrado de forma segura antes de cualquier reutilización o destruirse — no desechado ni reutilizado sin ese paso previo.

3. Medidas de Seguridad Técnica

Esta es la dimensión donde la brecha entre el estado actual de los despachos y lo que la LFPDPPP exige suele ser más evidente. Encontramos que la mayor parte de los despachos mantienen la configuración con la que vienen los equipos y no la ajustan de acuerdo a las mejores prácticas.

Los despachos contables en México enfrentan un reto adicional: algunos portales gubernamentales con los que trabajan cotidianamente — como el IDSE y el SIROC del IMSS — requieren configuraciones que reducen el nivel de seguridad de los equipos para poder operar. Esto no es negligencia del despacho; es una limitación real de la infraestructura tecnológica del gobierno.

Autenticación de doble factor (MFA) y acceso condicional: La verificación en dos pasos para acceder al correo corporativo y a los sistemas del despacho es uno de los controles más efectivos del Marco — y uno de los más conocidos: es el mismo mecanismo que los bancos utilizan para proteger el acceso a cuentas. Sin embargo, MFA por sí solo verifica únicamente quién eres. El acceso condicional va un paso más allá: verifica también las condiciones bajo las que estás entrando — desde qué ubicación, desde qué equipo y si ese equipo cumple con las políticas del despacho. Un acceso desde un equipo personal no autorizado o desde una ubicación inusual puede ser bloqueado automáticamente, independientemente de que las credenciales sean correctas. La combinación de ambos controles es lo que realmente protege al despacho.

Protección contra suplantación de correo: configuración técnica que impide que terceros envíen correos utilizando la dirección del despacho — práctica conocida como spoofing. Sin esta configuración, un atacante puede enviar mensajes a los clientes del despacho haciéndose pasar por él: solicitando pagos, datos personales o instrucciones fiscales, sin que el cliente pueda distinguirlo de un correo legítimo. Un análisis de los registros públicos de más de 1,100 despachos en México muestra que dos de cada tres no tienen esta protección configurada.

Esta configuración es verificable públicamente en segundos, sin necesidad de acceder a los sistemas del despacho — cualquier cliente, proveedor o la propia Secretaría de Anticorrupción y Buen Gobierno (SABG) que asumió esta responsabilidad con la disolución del INAI, puede constatar su ausencia antes de iniciar cualquier revisión formal

Respaldos periódicos documentados: respaldo sistemático de expedientes de clientes con una bitácora formal que registre la fecha de ejecución y el estado verificado del respaldo.

Un punto que frecuentemente genera confusión: las plataformas de productividad en la nube — Microsoft 365, Google Workspace — no son, por diseño, un esquema de respaldo. Tienen retención limitada de versiones y no protegen contra eliminación accidental, sobreescritura o infección por ransomware que se sincronice a la nube. Los propios proveedores recomiendan mantener respaldos externos e independientes de sus plataformas.

Los respaldos deben ser inmutables — es decir, no pueden ser modificados ni eliminados una vez generados — y conservarse conforme al Artículo 30 del CFF, cuyo plazo mínimo es de cinco años contados a partir de la presentación de las declaraciones relacionadas. Actos con efectos fiscales prolongados o situaciones de litigio pueden extender significativamente ese período.

Cifrado de archivos sensibles: Los archivos que contengan e.firma, datos bancarios, nóminas o expedientes personales deben almacenarse y transmitirse cifrados — es decir, en un formato que solo puede ser leído por quien tiene los permisos correspondientes. Si un archivo cifrado es extraído o interceptado, su contenido es ilegible para quien no tiene autorización.

Este control tiene una implicación legal directa: la LFPDPPP considera el cifrado como evidencia de diligencia debida. Una brecha sobre datos cifrados tiene consecuencias significativamente menores que una sobre datos expuestos — en el segundo caso, el despacho enfrenta obligación de notificación y posibles sanciones.

La recomendación no es proteger cada archivo con una contraseña individual — los casos de archivos inaccesibles por contraseñas perdidas son un problema operativo frecuente. El cifrado debe administrarse centralmente a través de las herramientas de prevención de pérdida de datos (DLP) mencionadas en la sección de medidas administrativas.

Conclusión

El Marco de Controles LFPDPPP no es un trámite burocrático: es la demostración operativa de que el despacho ha integrado la protección de datos en sus procesos diarios.

El riesgo más probable para un despacho no es una auditoría de la SABG — es que le roben las credenciales de un cliente, ese cliente sufra una declaración fraudulenta y el despacho tenga que demostrar que tomó medidas razonables de protección. Sin el marco de controles documentado, esa demostración es imposible.

Nota sobre elaboración: El autor utilizó herramientas de inteligencia artificial como apoyo en la revisión de estilo y búsqueda de referencias. El contenido técnico, los casos de campo y las conclusiones son de su autoría.

Referencias

• Cámara de Diputados del H. Congreso de la Unión. (2025, 20 de marzo). Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Diario Oficial de la Federación. Última reforma DOF 14-11-2025.
• Cámara de Diputados del H. Congreso de la Unión. (1981, 31 de diciembre). Código Fiscal de la Federación, Artículo 30. Diario Oficial de la Federación. Última reforma DOF 2024.
• Secretaría Anticorrupción y Buen Gobierno. (2026, 12 de enero). Comunicado: 20 investigaciones por presuntas vulneraciones de datos personales en dependencias públicas y particulares. Gobierno de México.
• LatinUS. (2026, 12 de enero). Secretaría Anticorrupción confirma 20 investigaciones por la vulneración de datos personales en dependencias y particulares.