LFPDPPP 2025 et « GDPR » : les exigences auxquelles doit se conformer le service informatique de votre filiale au Mexique

Deux lois, une seule infrastructure informatique

Si votre entreprise est la filiale mexicaine d’un groupe européen, on pourrait facilement penser que vous êtes uniquement tenu de respecter la législation mexicaine. Dans la pratique, de nombreuses filiales sont soumises à deux régimes de protection des données à la fois: la loi mexicaine « LFPDPPP », car elles opèrent et traitent des données au Mexique, et le règlement européen «GDPR », car elles traitent des données de personnes résidant dans l’UE, reçoivent des instructions de traitement de la maison mère ou font partie de sa chaîne de sous-traitants.

Ce qui a changé au sein de l'LFPDPPP e en 2025

La loi fédérale sur la protection des données à caractère personnel détenues par des particuliers a fait l'objet d'une mise à jour importante : la nouvelle loi est entrée en vigueur le 21 mars 2025 (publiée au Journal officiel de la Fédération le 20 mars, avec un amendement du 14 novembre 2025), remplaçant ainsi la loi de 2010. Le changement le plus important sur le plan pratique : l'INAI a été dissoute et la supervision et les sanctions en matière de protection des données ont été transférées au Secrétariat à la lutte contre la corruption et à la bonne gouvernance. Si votre équipe chargée de la conformité continue de documenter les processus « auprès de l'INAI », ce document est désormais obsolète.

La loi s'applique à toute personne physique ou morale du secteur privé qui effectue « toute opération portant sur des données à caractère personnel : collecte, utilisation, enregistrement, organisation, conservation, communication, diffusion, stockage, accès, traitement, exploitation, divulgation, transfert ou élimination » — c'est-à-dire pratiquement toute entreprise ayant des salariés, des clients ou des fournisseurs au Mexique.

Obligations spécifiques pour la filiale

• Une déclaration de confidentialité est disponible dès la réception des données ; elle précise l'identité et l'adresse du responsable du traitement, les finalités du traitement, les mécanismes ARCO et la procédure à suivre pour signaler des modifications.
• Droits ARCO: 20 jours ouvrables pour répondre à une demande et 15 jours ouvrables supplémentaires pour y donner suite le cas échéant (ce délai pouvant être prolongé une seule fois d'une durée équivalente), sans frais pour le titulaire.
• Contrat entre le responsable et le sous-traitant: si votre filiale traite des données pour le compte de la société mère (ou inversement), la loi exige que cette relation soit formalisée par un contrat, précisant le champ d'application, les instructions, les mesures de sécurité et le sort réservé aux données à la fin de la prestation.
• Mesures de sécurité administratives, techniques et physiques adaptées au type de données et au risque identifié — le règlement de 2025, qui précisera les délais spécifiques de notification des violations, n’a pas encore été publié.

Quand l'GDPR e entre en jeu

L'article 3 du règlement « GDPR » étend son champ d'application au-delà de l'Union européenne dans deux cas de figure qui concernent fréquemment les filiales mexicaines de groupes européens : lorsque l'entreprise propose des biens ou des services à des personnes situées dans l'UE (les autorités de régulation s'appuient sur des indices tels que les prix en euros ou les contenus en langues européennes), et lorsqu’ elle surveille le comportement de personnes situées dans l’UE — par exemple, si des systèmes exploités depuis le Mexique traitent les cookies ou les adresses IP de visiteurs européens d’un site du groupe. Les amendes en cas de non-respect peuvent atteindre 4 % du chiffre d’affaires annuel mondial ou 20 millions d’euros, le montant le plus élevé étant retenu — et elles sont calculées au niveau du groupe, et non uniquement au niveau de la filiale.

Quelles sont les exigences que cela impose au service informatique local ?

• Définir clairement si la filiale est responsable ou chargée de chaque base de données qu'elle utilise, et formaliser cela par contrat.
• Chiffrement des données à caractère personnel en transit et au repos, en tant que mesure de protection technique exigée par les deux régimes.
• Journaux d'accès et d'audit des systèmes contenant des données à caractère personnel — le même type de contrôle que celui exigé par la norme GxP; voir notre article sur la norme 21 CFR Part 11.
• Cartographie des transferts internationaux de données : quelles données quittent le Mexique à destination de la maison mère européenne, sur quelle base juridique et selon quelles garanties ?
• Procédure documentée de réponse aux demandes ARCO dans les délais légaux mexicains, en coordination avec l'équipe chargée de la protection de la vie privée du siège social.

Par où commencer ?

La plupart des filiales n’ont pas besoin de réinventer leur architecture : elles ont besoin d’un audit informatique qui recense où se trouvent les données à caractère personnel, qui y a accès et quels contrôles existent déjà, ainsi que d’une gestion de la cybersécurité qui comble les failles techniques — chiffrement, contrôle d’accès, journaux — avant qu’une demande au titre de l ARCO e ou un audit de la maison mère ne les mette en évidence. Consultez également les constatations types que nous relevons dans les filiales lors de ces audits.