SISTEMA JURÍDICO INSTITUCIONAL
López Henaine y Chávez
Asesoría Integral Jurídica y Contable
SEGURIDAD DE LA INFORMACIÓN
Política de Confidencialidad SJI-501
Versión 1.0 | Emisión: 10 de agosto de 2026
Control documental
| Clave | SJI-501 |
| Versión | 1.0 |
| Estado | Borrador para revisión jurídica final |
| Fecha de emisión | 10 de agosto de 2026 |
| Propietario del documento | Dirección del despacho |
| Periodicidad de revisión | Anual y ante cambios normativos, operativos o tecnológicos |
| Ámbito | Sitio web, atención presencial y remota, canales digitales y operación institucional |
| Clasificación | Uso institucional y publicación externa cuando corresponda |
| Punto de revisión antes de publicar Adoptar un inventario de activos y expedientes, acuerdos de confidencialidad con personal/proveedores, política de contraseñas, respaldo y procedimiento de respuesta a incidentes antes de declarar cumplimiento operativo pleno. |
Índice
La estructura se presenta para facilitar la revisión y actualización. Los encabezados conservan estilos de Word para navegación.
- Control documental
- Índice
- Objeto
- Ámbito de aplicación
- Definiciones institucionales
- Principios rectores
- Marco jurídico y criterios aplicables
- Información protegida
- Obligaciones de confidencialidad
- Acceso y medidas de seguridad
- Excepciones y divulgaciones permitidas
- Datos personales y secreto profesional
- Gestión de incidentes
- Devolución, conservación y destrucción
- Incumplimiento y capacitación
- Vigencia y control de modificaciones
Objeto
Proteger la información confiada al despacho y establecer obligaciones de reserva, acceso controlado, uso legítimo, conservación y respuesta ante incidentes.
Ámbito de aplicación
Es obligatoria para profesionistas, personal administrativo, practicantes, proveedores, consultores y cualquier tercero que acceda a información del despacho, de sus clientes, prospectos, aliados o contrapartes.
Definiciones institucionales
Información confidencial: Información no pública recibida, generada o conocida por razón de una relación profesional, comercial, laboral o de colaboración.
Expediente: Conjunto físico o digital de documentos, comunicaciones, evidencias, notas y registros de un asunto.
Incidente de confidencialidad: Acceso, uso, pérdida, divulgación, alteración o destrucción no autorizada de información.
Principios rectores
- Secreto profesional, reserva y necesidad de conocer.
- Acceso mínimo y trazabilidad razonable.
- Seguridad desde el diseño en expedientes físicos y digitales.
- Comunicación inmediata de posibles incidentes y prohibición de represalias.
Marco jurídico y criterios aplicables
Este documento se interpreta de forma armónica con la normativa mexicana aplicable y con las obligaciones profesionales, contractuales y de protección de datos que correspondan a cada asunto. En caso de contradicción, prevalecerá la disposición imperativa aplicable.
- Constitución Política de los Estados Unidos Mexicanos, artículos 6o. y 16, en materia de privacidad y protección de datos personales.
- Ley Federal de Protección de Datos Personales en Posesión de los Particulares, texto vigente publicado el 20 de marzo de 2025 y reformas posteriores, especialmente sus artículos 5 a 20, 21 a 36 y demás aplicables.
- Reglamento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y disposiciones administrativas vigentes que resulten compatibles con la Ley vigente.
- Código de Comercio, en lo relativo a mensajes de datos, medios electrónicos y contratación digital, cuando el supuesto sea mercantil.
- Criterios, recomendaciones y disposiciones que emita la Secretaría Anticorrupción y Buen Gobierno u otra autoridad competente en materia de datos personales.
- Legislación civil, mercantil, laboral, penal y procesal aplicable al secreto profesional, deberes de reserva y conservación de información.
Información protegida
Se considera confidencial, entre otra, la información de clientes y prospectos; expedientes; estrategias; datos personales; documentos fiscales, contables, bancarios o patrimoniales; comunicaciones internas; propuestas; honorarios; contraseñas; configuraciones; bases de datos; resultados de auditoría y cualquier información marcada como reservada o que razonablemente deba entenderse como no pública.
La información confidencial puede encontrarse en cualquier soporte: verbal, escrito, audiovisual, físico, electrónico, nube, dispositivo móvil, correo, mensajería, notas o reuniones.
Obligaciones de confidencialidad
Quien tenga acceso deberá utilizar la información exclusivamente para el propósito autorizado, conservarla con cuidado, compartirla solo con personas autorizadas que necesiten conocerla, verificar destinatarios antes de enviar comunicaciones y resguardar sus credenciales.
La obligación subsiste después de terminar la relación con el despacho o el encargo. La información no podrá utilizarse para beneficio propio o de terceros, competencia desleal, contacto no autorizado con clientes, entrenamiento de herramientas públicas de IA o fines ajenos al asunto.
Acceso y medidas de seguridad
Los expedientes se organizarán mediante perfiles de acceso, contraseñas robustas, almacenamiento autorizado, bloqueo de pantalla, resguardo físico, destrucción segura y respaldos razonables según el riesgo. Se prohíbe almacenar expedientes en cuentas personales, dispositivos no autorizados o medios extraíbles sin autorización y protección adecuada.
El envío de documentos sensibles se realizará por canales razonablemente seguros y, cuando corresponda, con cifrado, contraseña comunicada por canal separado o enlace con vencimiento. No se dejarán documentos confidenciales a la vista ni se discutirán asuntos en espacios públicos.
Excepciones y divulgaciones permitidas
La divulgación solo podrá realizarse cuando exista autorización de la persona legitimada, obligación legal, orden de autoridad competente fundada y motivada, necesidad de defensa de un derecho o supuesto permitido por la normativa aplicable. En la medida permitida, se limitará la divulgación a lo estrictamente necesario y se dejará evidencia.
Cuando participen proveedores o especialistas externos, deberá verificarse que exista una relación jurídica, deber de confidencialidad, instrucciones de tratamiento y medidas adecuadas antes de compartir información.
Datos personales y secreto profesional
El tratamiento de datos personales se sujetará además al Aviso de Privacidad Integral SJI-201 y a la Ley aplicable. El cumplimiento de esta Política no releva de deberes de secreto profesional, reserva procesal o obligaciones específicas de cada materia.
Gestión de incidentes
Toda sospecha de pérdida, envío erróneo, acceso no autorizado, robo de dispositivo, cuenta comprometida o divulgación deberá reportarse de inmediato a la Dirección. La persona que reporte deberá preservar evidencia y abstenerse de ocultar, alterar o difundir el incidente.
La Dirección evaluará contención, recuperación, notificación a personas afectadas o autoridades, corrección y medidas preventivas. Las vulneraciones de datos personales que afecten significativamente derechos se atenderán con la inmediatez prevista por la Ley.
Devolución, conservación y destrucción
Al cierre de una relación o proyecto, la información se devolverá, conservará, bloqueará o destruirá conforme al acuerdo aplicable, obligaciones legales, plazos de prescripción y defensa de derechos. La destrucción de información física o digital deberá impedir razonablemente su recuperación no autorizada.
Incumplimiento y capacitación
El incumplimiento puede generar medidas correctivas, restricciones de acceso, terminación de la relación, reclamaciones y responsabilidades legales. El despacho promoverá capacitación periódica y revisión de controles para sostener una cultura de confidencialidad.
Vigencia y control de modificaciones
El presente documento entra en vigor en la fecha indicada en el control documental. Será revisado al menos anualmente y cada vez que exista modificación normativa, cambio de servicios, incorporación de tecnología, incidente relevante o necesidad identificada en la operación. Toda actualización deberá registrarse con versión, fecha, responsable y síntesis de cambios.