Ley de Protección de Datos Personales en Posesión de Sujetos Obligados de la Ciudad de México

Artículos explicados en lenguaje simple

• Art. 1Esta ley aplica para toda la Ciudad de México y es obligatoria para todas las autoridades y entidades del gobierno, como dependencias o empresas públicas, que tengan tus datos personales. Su objetivo es asegurar que tu información privada sea usada de manera correcta y legal, y que tú puedas decidir cómo la manejan. Te da derechos como saber qué datos tienen de ti (acceso), corregirlos si están mal (rectificación), borrarlos (cancelación), oponerte a que los usen (oposición) o pedir que los trasladen a otra parte (portabilidad). La Secretaría de la Contraloría General y otras autoridades vigilarán que se cumpla esta ley.
• Art. 2Esta Ley sirve para proteger tu información personal, como tu nombre, dirección o datos bancarios, y establecer reglas claras sobre cómo deben manejarla las autoridades de la Ciudad de México. También obliga a esas autoridades a cuidar tus datos cuando los usen para hacer su trabajo y te da derechos para acceder, corregir, cancelar, oponerte o transferir tu información de manera fácil y rápida. Además, busca que se promueva una cultura de cuidado de datos personales y establece castigos para quienes no cumplan con estas reglas.
• Art. 3La ley explica varias palabras clave que usa. **Áreas** son las partes de una institución que manejan tus datos personales. **Autoridades garantes** son los órganos que vigilan que se cumpla la ley; tienen libertad para hacer su trabajo. El **aviso de privacidad** es un documento que te dan antes de pedir tus datos para decirte para qué los usarán y qué derechos tienes. **Datos personales** es cualquier información que pueda identificarte, como tu nombre, dirección o número de identificación. El **consentimiento** es tu autorización, dada de forma libre y clara, para que usen tus datos.
• Art. 4Esta ley aplica para cuando alguien use tus datos personales, ya sea en papel o en computadora. No importa cómo se hayan creado, guardado o acomodado esos datos, la ley siempre te protege.
• Art. 5Este artículo dice que hay lugares donde cualquier persona puede consultar datos personales, como páginas de internet o sitios electrónicos que están hechos para dar información al público, directorios telefónicos, periódicos oficiales, medios de comunicación como la tele o la radio, y registros públicos. Para que se consideren "de acceso público", cualquier persona debe poder consultarlos sin restricciones especiales, aunque a veces se tenga que pagar una cuota. No cuentan como acceso público si la información se obtuvo de manera ilegal o no siguiendo lo que marca la ley.
• Art. 6El Gobierno de la Ciudad tiene la obligación de cuidar tu información personal, como tu nombre, teléfono o dirección, para que no la usen de manera incorrecta. También debe asegurarse de que otras personas o empresas no hagan cosas que puedan dañar tu privacidad sin una razón válida. En pocas palabras, es responsabilidad del gobierno proteger tus datos y evitar que otros los utilicen de forma injusta o sin tu permiso.
• Art. 7Al aplicar esta ley, las autoridades deben seguir primero lo que dice la Constitución de México, los tratados internacionales firmados por el país, la Constitución de la CDMX y la Ley General de Protección de Datos. También deben tomar en cuenta las decisiones y opiniones de tribunales mexicanos y extranjeros especializados en el tema. Siempre se debe elegir la opción que proteja mejor tus datos personales y tus derechos. En pocas palabras, esta ley se usa para darte la mayor protección posible.
• Art. 8Si esta ley no dice algo específico sobre un caso, se usan otras leyes para resolverlo, como la Ley de Transparencia de la Ciudad de México o el Código Nacional de Procedimientos. Esto sirve para llenar los huecos y no dejar ningún asunto sin reglas claras.
• Art. 9Este artículo dice que cualquier persona o empresa que guarde tus datos personales debe seguir estas reglas: - **Calidad:** Solo pueden pedirte datos ciertos y necesarios para lo que acordaron, nada de información de más. - **Confidencialidad:** Tus datos son secretos; nadie más que tú puede verlos o compartirlos, a menos que tú lo autorices. - **Consentimiento:** Tienes que aceptar de manera clara y voluntaria que usen tus datos, sin engaños. - **Finalidad:** Solo pueden usar tus datos para el propósito que te dijeron desde el principio, y cuando ya no los necesiten, deben borrarlos. - **Información:** Te tienen que explicar cómo usarán tus datos, para qué y avisarte de cualquier cambio. - **Lealtad:** No pueden obtener tus datos con mentiras, trampas o cosas ilegales. - **Licitud:** Solo pueden tratar tus datos si tú diste permiso o si una ley los obliga, y siempre para lo acordado. - **Proporcionalidad:** Solo pueden pedir los datos estrictamente necesarios para el objetivo que te dijeron. - **Transparencia:** Toda la información sobre cómo manejan tus datos debe ser clara, sencilla y estar siempre a tu alcance. - **Temporalidad:** Tus datos solo se guardan el tiempo necesario para cumplir con el propósito; cuando ya no sirvan, deben eliminarlos.
• Art. 10Si una empresa o persona (el "responsable") usa tus datos personales, debe seguir las reglas de la ley y solo usarlos para fines claros, legales y específicos que estén relacionados con lo que puede hacer según las normas. También tiene que tener políticas y controles para proteger tu información y demostrar que cumple. Si quieren usar tus datos para algo diferente a lo que originalmente aceptaste, solo pueden hacerlo si la ley se los permite y tú les das tu permiso claro y por adelantado. La única excepción es si eres una persona reportada como desaparecida, en cuyo caso no necesitan tu permiso.
• Art. 11Este artículo dice que la persona o empresa que maneje tus datos personales no puede obtenerlos ni usarlos con engaños o trampas. Siempre debe proteger tus intereses y respetar que tú esperas que cuiden tu información de manera honesta. Por ejemplo, no pueden hacerte firmar algo sin explicarte claramente para qué ocuparán tus datos.
• Art. 12Para que alguien pueda usar tus datos personales, primero necesita tu permiso. Ese permiso debe cumplir con cuatro cosas: que lo des sin que te engañen o te obliguen, que sepas exactamente para qué van a usar tus datos, que te hayan informado claramente mediante un aviso de privacidad, y que demuestres tu aceptación con una acción clara, como decir que sí o firmar. El hecho de que no digas nada o no hagas nada nunca cuenta como permiso. Además, puedes cancelar tu permiso en cualquier momento, y si lo haces, deben dejar de usar tus datos, aunque lo que ya hicieron con ellos antes no se deshace.
• Art. 13Cuando se trata de los datos personales de niñas, niños y adolescentes, primero debes pedirles su permiso de una manera que entiendan bien, tomando en cuenta su edad y madurez. La Secretaría de la Contraloría, a través de un área especial, creará un proceso para protegerlos al máximo, porque su bienestar es lo más importante. En el caso de personas con discapacidad, el permiso lo debe dar quien esté autorizado por la ley civil, como sus papás o tutores.
• Art. 14Básicamente, este artículo dice que nadie puede usar tus datos personales más delicados (como tu salud, religión u opiniones políticas) a menos que tú les des permiso. Ese permiso debe ser por escrito, con tu firma de puño y letra o con una firma electrónica, y tienes que entender bien para qué lo van a usar. La única excepción es cuando la propia Ley permita que usen esos datos sin tu permiso, en casos muy específicos.
• Art. 15El artículo 15 dice que hay situaciones en las que quien maneja tus datos personales (el responsable) no necesita pedirte permiso para usarlos. Esto pasa, por ejemplo, cuando una ley lo ordena, cuando hay una orden de un juez, o si es necesario para proteger tu salud en una emergencia. También aplica si los datos están en registros públicos y no violan tus derechos, o si se usan para estadísticas o ciencia sin identificar quién eres. Pero cuidado: estas excepciones solo aplican en los casos exactos que menciona la ley, no se pueden inventar otras. Si hay duda, el responsable debe pedir tu permiso, y siempre le toca a él demostrar que no necesita tu consentimiento.
• Art. 16La empresa o persona que guarda tus datos (como tu nombre o dirección) debe asegurarse de que estén siempre correctos, completos y actualizados, para que no pierdan calidad. Cuando ya no necesiten tus datos para el propósito para el que los pidieron (por ejemplo, darte un servicio), deben eliminarlos. Primero los bloquean (los dejan inaccesibles por si se ocupan después por temas legales) y luego los borran para siempre. No pueden guardarlos más tiempo del necesario, pero sí mantenerlos si hay obligaciones de tipo fiscal, contable o jurídico que lo exijan.
• Art. 17Tienes que tener un plan escrito (documentado) que explique cómo guardas, usas y eliminas los datos personales que manejas. Ese plan debe incluir desde que obtienes los datos hasta que ya no los necesitas y los destruyes (ciclo de vida), todo según lo que dice esta ley. También debes incluir en ese procedimiento las fechas exactas para borrar los datos y hacer revisiones periódicas para asegurarte de que ya no los estás guardando de más.
• Art. 18La empresa o persona que tenga tus datos solo puede usar los que realmente necesita para el objetivo que te dijo, ni más ni menos. No puede pedirte información de más "por si acaso", solo lo estrictamente necesario para lo acordado.
• Art. 19Quien usa tus datos personales debe informarte, antes de obtenerlos, cómo y para qué los va a usar. Esto lo hace mediante un "aviso de privacidad", que es un documento que explica todo eso. Ese aviso debe estar a tu alcance antes de que te pidan tus datos, ya sea en físico o en internet, y tiene que estar escrito en un lenguaje claro y sencillo para que lo entiendas bien. Si por alguna razón no te lo pueden dar directamente, deben buscar otra forma de hacértelo llegar, como avisos masivos. El objetivo es que tú puedas decidir con toda la información si quieres compartir tus datos o no.
• Art. 20El aviso de privacidad es el documento donde una empresa te dice qué datos tuyos va a recoger y para qué los usará. La ley dice que este aviso debe estar disponible en dos versiones: una corta (simplificada) donde explican lo más importante, y otra larga (integral) con todos los detalles. Puedes pedir cualquiera de las dos, según lo que necesites saber. Es como cuando te dan un resumen rápido y luego el documento completo para leerlo con calma.
• Art. 21La empresa o persona que use tus datos debe darte un aviso breve y claro que incluya: su nombre, el nombre del sistema donde guarda tu información y para qué la va a usar, señalando cuándo necesita tu permiso. Si va a compartir tus datos con el gobierno, empresas u otras personas, debe decirte quiénes son y para qué los recibirán. También tiene que explicarte cómo ejercer tus derechos ARCOP (acceder, rectificar, cancelar u oponerte al uso de tus datos), y cómo puedes decir que no a ciertos usos o transferencias que requieran tu consentimiento. Por último, debe indicarte dónde consultar el aviso de privacidad completo. Este aviso rápido no reemplaza la obligación de darte acceso a la versión detallada.
• Art. 22Este artículo dice que la persona o empresa que usa tus datos personales (el responsable) debe mostrarte un aviso de privacidad simplificado (una versión breve y clara de cómo usarán tu información) antes de pedírtelos, antes de usarlos si los obtiene directamente de ti, y antes de aprovecharlos si consigue tus datos de otra fuente (como un tercero). Además, aunque te den ese aviso corto, después están obligados a darte el aviso de privacidad completo (la versión más detallada) según lo que marca la ley.
• Art. 23El aviso de privacidad completo debe incluir, además de lo que ya dice el artículo 20, lo siguiente: el nombre y dirección de la empresa o persona que usa tus datos (el responsable), qué datos personales tuyos van a usar (señalando cuáles son sensibles, como tu salud o religión), el nombre del sistema donde guardan esa información, la ley que los autoriza a hacerlo, para qué usan tus datos (diferenciando los que necesitan tu permiso), si los comparten con otros, cómo puedes ejercer tus derechos ARCOP (acceder, rectificar, cancelar u oponerte), la dirección de la Unidad de Transparencia, y cómo te avisarán si cambian el aviso.
• Art. 24Quien maneje tus datos personales debe tener cómo demostrar que cumple con lo que dice esta ley, como proteger tu privacidad. Tiene que rendir cuentas tanto a ti como a las autoridades encargadas, explicando qué hace con tu información y con sus sistemas. Para esto, debe seguir la Constitución de México, la de la Ciudad de México y los tratados internacionales que México haya firmado. Si no va en contra de las leyes mexicanas, puede usar estándares o buenas prácticas de otros países. En pocas palabras, debe ser transparente y comprobar que trata tus datos de manera legal y segura.
• Art. 25El artículo 25 dice que la persona o empresa que maneja tus datos personales tiene que cumplir con varias obligaciones para proteger tu información. Por ejemplo, debe destinar dinero y recursos para crear programas de protección, capacitar a su personal y revisar periódicamente sus políticas de seguridad. También tiene que garantizar que puedas ejercer tus derechos como acceder, corregir o cancelar tus datos, y debe informarte para qué los usa antes de pedírtelos. Además, necesita registrar los sistemas donde guarda tus datos ante las autoridades correspondientes y presentar un informe anual sobre cómo cumple con estas reglas.
• Art. 26Como responsable de usar los datos de otras personas, tú tienes la obligación de poner medidas de seguridad para protegerlos, sin importar si los guardas en papel o en computadora, o cómo los uses. Estas medidas deben ser de tipo administrativo (como reglas y procedimientos), físico (como candados o archiveros con llave) y técnico (como contraseñas o firewalls), para evitar que los datos se dañen, pierdan, alteren o destruyan. También tienes que asegurarte de que nadie los use, entre o los trate sin permiso. Finalmente, debes garantizar que la información solo la vean quienes deben verla (confidencialidad), que sea correcta y completa (integridad), y que esté disponible cuando se necesite.
• Art. 27Si una empresa o institución maneja tus datos personales, debe tomar medidas de seguridad según el riesgo que representen esos datos. Por ejemplo, si son datos muy privados (como tu salud o religión) o si hay muchos clientes afectados, la seguridad debe ser más estricta. La ley divide la protección en tres niveles: básico (para cualquier dato), medio (para datos financieros o de antecedentes) y alto (para datos íntimos como orientación sexual o ADN). Las medidas que tomen solo se reportan a la autoridad de protección de datos para que queden registradas, pero no se hacen públicas.
• Art. 28Si tienes un negocio o organización y manejas datos personales de clientes, este artículo te dice lo que debes hacer para cuidarlos. Primero, tienes que crear reglas internas que digan cómo obtienes, usas y borras esos datos, según lo que hagas con ellos. También debes dejar claro qué debe hacer cada persona de tu equipo con esos datos, y hacer una lista de toda la información personal que guardas. Además, tienes que analizar qué riesgos hay (como hackeos o errores humanos) y comparar lo que ya tienes para proteger los datos con lo que te hace falta. Por último, necesitas un plan para poner en marcha las medidas que te faltan, checar seguido que todo funcione, y capacitar a tu personal según lo que le toque hacer con los datos.
• Art. 29Tienes que guardar un registro de todas las medidas que tomes para proteger los datos personales, y ese registro se llama "documento de seguridad". Ese documento no es un papel suelto, sino un sistema organizado que incluye todo lo que haces para manejar la información de forma segura: desde cómo la usas hasta cómo la cuidas, la revisas y la mejoras con el tiempo. Básicamente, es tu guía para cumplir con la ley y evitar que los datos se filtren o se maltraten.
• Art. 30El responsable (la persona o empresa que maneja tus datos) debe crear un documento de seguridad que explique cómo protege tu información personal. Ese documento tiene que incluir cosas como un listado de qué datos tienen, quién tiene acceso a ellos, cómo se registran los problemas que surjan, y cómo controlan quién puede entrar al sistema. También debe tener un plan para hacer respaldos, un análisis de los riesgos y de las fallas de seguridad, y el nombre de la persona encargada de la seguridad. Por último, debe incluir un plan de trabajo y un programa de capacitación para que todo el personal sepa cómo manejar tus datos de forma segura.
• Art. 31Quien maneja tus datos personales debe actualizar su plan de seguridad cada vez que haga cambios importantes que aumenten el riesgo de que tu información se exponga o se use mal. También tiene que mejorarlo continuamente cuando revise cómo funciona su sistema, o después de que ocurra una falla de seguridad para evitar que vuelva a pasar. Si algún incidente ya afectó tus datos, debe aplicar medidas para corregir el problema y prevenir futuros errores. Además, lo actualizará si el organismo encargado de proteger tus datos (la Autoridad Garante Local o las Autoridades Garantes) se lo recomienda.
• Art. 32Si alguien se mete a tus datos personales o pasa un accidente de seguridad con ellos, la empresa o persona que los cuida tiene que investigar cómo pasó. Después debe arreglar su plan de trabajo para poner medidas que eviten que vuelva a ocurrir. También tiene que ajustar cómo trata tu información si es necesario. Todo esto es para que no se repita el problema y tus datos estén más seguros.
• Art. 33El artículo 33 dice que, además de lo que establezcan otras leyes, se consideran como violaciones a la seguridad de tus datos personales ciertas acciones no permitidas. Esto incluye que pierdan o destruyan tu información sin autorización, que te roben, extravíen o copien tus datos sin permiso, que alguien los use, acceda a ellos o los trate sin que tú lo hayas autorizado, o que los dañen, alteren o modifiquen sin tu consentimiento. Todo esto aplica en cualquier momento en que se estén manejando tus datos.
• Art. 34Si tienes un negocio o manejas datos personales, debes llevar un registro (una bitácora) cada vez que haya una violación de seguridad. En ese registro tienes que anotar qué pasó, el día exacto, por qué ocurrió y qué hiciste para solucionarlo de inmediato y para siempre. Es como llevar un reporte de los "accidentes" de seguridad para que quede constancia. Esto aplica a cualquier empresa o persona que tenga datos de clientes o usuarios.
• Art. 35Cuando se confirme que hubo una violación a la seguridad de tus datos personales, la empresa o persona que los maneja (el responsable) debe avisarte a ti, a la autoridad local de protección de datos o a la autoridad nacional, sin ningún retraso. Además, tiene que revisar a fondo qué tan grave fue el problema, para que tú puedas tomar medidas para defender tus derechos, como cambiar contraseñas o reportar algo. La autoridad local o nacional puede revisar qué hizo el responsable para reducir el daño, sus niveles de seguridad y sus documentos de control, y así recomendarle lo que sea necesario para proteger tu información.
• Art. 36Cuando ocurra un incidente con tus datos personales (como un robo o filtración), la empresa o persona responsable debe avisarte y decirte qué pasó, qué datos tuyos se vieron afectados, qué puedes hacer para protegerte, qué medidas ya tomaron para solucionarlo y dónde puedes pedir más información. Además, la autoridad de protección de datos (como el INAI o la autoridad local) puede revisar si lo están haciendo bien y darles recomendaciones que deberán cumplir en un plazo que ella misma fije.
• Art. 37El artículo dice que la persona o empresa que guarda tus datos personales debe asegurarse de que todos los empleados o terceros que los manejen mantengan la boca cerrada. Esto significa que no pueden andar divulgando tu información a nadie más. Esta obligación de guardar el secreto no se acaba aunque el trabajador renuncie o termine su relación con la empresa. En pocas palabras, si alguien tuvo acceso a tus datos, está obligado a no contarlos ni usarlos mal, incluso después de que deje de trabajar ahí.
• Art. 38El jefe de cada institución u organismo que maneja datos personales decide si crea, cambia o elimina los archivos donde guarda esa información. Esto lo hace según lo que le toca hacer en su trabajo. Esos archivos solo deben servir para que el manejo de datos sea claro, responsable y legal, sin usarlos para otra cosa.
• Art. 39Cada dependencia del gobierno de la Ciudad de México debe avisar en la Gaceta Oficial cuándo crea, cambia o borra un sistema con datos personales de la gente. En ese aviso tiene que dar las ligas de internet para consultar los acuerdos oficiales y toda la información que pida la autoridad encargada de proteger datos. Además, deben mandar esos acuerdos en papel y digital para que los guarden y los publiquen en un registro electrónico. Si crean o modifican el sistema, tienen que explicar para qué sirve, quiénes son las personas involucradas, qué datos van a tener, quién es el responsable, cómo puedes ejercer tus derechos (como acceso o cancelación), y qué medidas de seguridad aplican. Si borran datos, pueden exceptuar aquellos que ya no sean personales o que sirvan para estadística, historia o ciencia, siempre que no afecten el propósito original.
• Art. 40Las oficinas locales de protección de datos (la Autoridad Garante Local y las Autoridades Garantes) van a crear un registro donde todas las dependencias públicas deben anotar los sistemas de datos personales que tengan bajo su cuidado. En ese registro, cada dependencia tiene que incluir, como mínimo: quién es el responsable del sistema y qué puesto tiene, para qué se usan los datos, qué tipo de información contienen (como nombres, direcciones, etc.), cómo se obtienen, si se comparten con otras personas, cómo se relacionan entre sí los datos, cuánto tiempo se guardan y qué medidas de seguridad se aplican para protegerlos.
• Art. 41No puedes crear bases de datos que solo sirvan para guardar información delicada sobre las personas, como su raza, religión, ideas políticas, orientación sexual o creencias. Esos datos solo se pueden usar si hay una razón importante para el país, si una ley lo permite, si la persona da su permiso de forma clara y voluntaria, o para fines estadísticos o históricos, pero siempre quitando datos que identifiquen a la persona. En el caso de investigaciones científicas o de salud pública, sí se puede usar la información sin necesidad de ocultar la identidad.
• Art. 42Este artículo dice que todos los archivos o bases de datos que tengan información tuya (como nombre, domicilio, etc.), y que sean creados por instituciones del gobierno como la policía, fiscalías o juzgados, deben proteger tus datos personales siguiendo las reglas de esta ley. Esto aplica aunque los usen solo para trámites administrativos, no solo para investigaciones. En pocas palabras, esas dependencias no pueden hacer lo que quieran con tu información, sino que tienen que cuidarla y respetar tus derechos. Tú tienes control sobre esos datos, como pedir que los corrijan o los borren.
• Art. 43Tienes derecho a pedirle a cualquier institución pública (como dependencias del gobierno) que te muestre los datos personales que tiene sobre ti (acceso), que los corrija si están mal (rectificación), que los borre (cancelación), que deje de usarlos para ciertos fines (oposición), o que te los entregue en un formato que puedas pasar a otra empresa (portabilidad). Puedes hacerlo tú mismo o que alguien te represente. Estos derechos son independientes, así que no necesitas hacer uno para poder usar otro, ni porque uses uno dejas de tener los demás.
• Art. 44Tú, como dueño de tus datos personales, o alguien que tú autorices, puedes pedir y recibir información sobre cómo otra persona o empresa usa, guarda, comparte o maneja cualquier cosa relacionada con tu información privada. Esto incluye detalles como para qué fines la tienen, cómo la organizan, si la transfieren a otros, o cómo la aprovechan. Básicamente, tienes derecho a saber todo lo que hacen con tus datos personales.
• Art. 45Tienes derecho a pedir, tú mismo o alguien que te represente, que corrijan o actualicen tus datos personales si están mal, incompletos, tienen errores o ya no son vigentes. Esto aplica para información como tu nombre, dirección, teléfono, etc. Sin embargo, si esos datos corresponden a algo que ya está comprobado en un juicio o trámite oficial, se consideran correctos si coinciden con lo que dice ese expediente. En pocas palabras, puedes corregir errores, pero no cambiar hechos ya verificados por una autoridad o juez.
• Art. 46Tienes derecho a pedir que borren tus datos personales de cualquier archivo o sistema donde los tenga quien los resguardaba. Cuando lo solicites, esa persona o empresa debe eliminar tu información y dejar de usarla para siempre. Esto aplica siempre y cuando cumplas con los requisitos que marca la ley, como que ya no sean necesarios para el motivo por el que los diste. Es como pedir que te saquen de una lista o base de datos, y que ya no aparezcas en ningún lado.
• Art. 47Este artículo te da el derecho de decir "ya no quiero que uses mis datos" o "deja de procesarlos" en dos casos específicos. Primero, aunque sea legal que alguien use tu información, puedes pedir que pare si seguir usándolos te causa algún daño o perjuicio. Segundo, cuando tus datos se procesan de forma automática (sin que una persona decida, solo una computadora) y eso te genera consecuencias legales que no quieres, o afecta tus intereses, derechos o libertades de manera importante. Por ejemplo, si un sistema automático evalúa cosas de ti como tu rendimiento en el trabajo, tu salud, tu situación económica o tu comportamiento, y eso te perjudica, tienes derecho a oponerte.
• Art. 48Este artículo te protege al darte el derecho de mover tus datos personales de un lado a otro. Por ejemplo, si tienes tu información con una empresa, puedes pedirle que te la entregue en un formato que puedas usar. También puedes solicitarle que mande tus datos directamente a otra empresa, como cambiar tu historial de una clínica a otra. Esto solo aplica bajo ciertas condiciones que la ley señala, no siempre que tú quieras. En pocas palabras, tú decides con quién compartes tu información.
• Art. 49Si pides a una empresa o institución ver tus datos personales, corregirlos, borrarlos, que no los usen o pasarlos a otro lado, ellos tienen que seguir el procedimiento que marca esta ley para atenderte. Ese trámite se hace según las reglas que están explicadas en esta misma sección y en otras normas que apliquen al caso.
• Art. 50Para pedir ver, corregir, cancelar o oponerte al uso de tus datos personales (los llamados derechos ARCOP), primero tienes que demostrar quién eres con una identificación oficial. Si alguien más hace el trámite por ti, debe mostrar una carta poder simple firmada ante dos testigos y copias de sus identificaciones. En casos especiales, como cuando un juez lo ordena o la ley lo permite, otra persona puede hacer el trámite sin ser el dueño de los datos o su representante. Los niños y adolescentes pueden ejercer estos derechos por sí mismos, y las personas con discapacidad pueden pedir ayuda o ajustes para hacerlo, sin que eso quite la obligación de las autoridades de hacer accesible el proceso para todos. Si la persona ya falleció, sus datos siguen protegidos, y solo alguien con interés legal, como un heredero o albacea, puede ejercer esos derechos.
• Art. 51El artículo dice que ejercer tus derechos ARCOP (pedir, acceder, corregir, cancelar u oponerte al uso de tus datos personales) es gratis. Solo te pueden cobrar si pides copias físicas, certificaciones o que te envíen los documentos por correo, y ese cobro debe seguir las reglas establecidas. Si tú llevas tu propia memoria USB, CD o cualquier medio para que te copien tus datos, no te pueden cobrar nada por ello. Tampoco te cobrarán si la información que te entregan tiene menos de 60 hojas impresas. Además, si tienes una situación económica difícil, las oficinas de transparencia pueden perdonarte el pago de copias o envíos. Por último, la institución no puede ponerte ningún requisito que te cueste dinero solo para que puedas hacer tu solicitud.
• Art. 52Cuando quieras ejercer tus derechos ARCOP (que son los derechos para Acceder, Rectificar, Cancelar u Oponerte al uso de tus datos personales), la empresa o institución debe tener un proceso fácil y rápido para que puedas hacer tu solicitud. Ellos tienen máximo 15 días desde que recibieron tu petición para darte una respuesta. En casos especiales, pueden pedir 15 días más para contestarte, pero antes de que se acabe el plazo original deben avisarte por qué necesitan más tiempo y dar una razón válida. Si te dicen que sí a tu solicitud (por ejemplo, para que borren tus datos), deben cumplir con lo que pediste en un máximo de 10 días contados a partir del día siguiente de que te notificaron su respuesta.
• Art. 53Cuando quieras pedir que se respeten tus derechos sobre tus datos personales (derechos ARCOP: Acceso, Rectificación, Cancelación, Oposición y Portabilidad), solo pueden pedirte información básica como tu nombre, domicilio y una copia de tu identificación oficial. También necesitas explicar claramente qué datos quieres revisar, corregir o eliminar, y por qué motivo lo haces. Si pides ver tus datos, puedes elegir cómo los quieres recibir (como copia impresa o digital), y la institución debe cumplir con lo que pidas a menos que sea imposible. Si quieres corregir información falsa o incompleta, puedes hacerlo siempre que sea posible y no sea demasiado complicado para la institución. Para cancelar tus datos, debes decir por qué quieres que los borren; para oponerte a que los usen, tienes que explicar qué daño te causa o para qué fin específico no quieres que los utilicen. En el caso de la portabilidad, puedes pedir que pasen tus datos de una institución a otra, pero solo si los están usando con tu permiso o por un contrato, y todo sea por medios automáticos (como sistemas de cómputo). Todas estas solicitudes las haces en la Unidad de Transparencia de la institución, ya sea por escrito, en formatos, por internet o como ellos te indiquen; y la institución está obligada a recibir tu solicitud y darte un comprobante de que la recibieron.
• Art. 54Cuando la persona o institución que recibe tu solicitud sobre tus datos personales (los derechos ARCOP son Acceso, Rectificación, Cancelación, Oposición y Portabilidad) no es la indicada para atenderla, tiene máximo 3 días para decirte por qué no puede resolverla, explicando las razones de forma clara. Si sabe quién sí puede ayudarte, debe orientarte hacia la autoridad correcta. Si la institución dice que no tiene tus datos personales, debe presentar un documento oficial firmado por su Comité de Transparencia que lo confirme. Y si te equivocaste al pedir un derecho que no existe en la ley, la institución debe corregirte el rumbo y avisarte para que hagas la solicitud correcta.
• Art. 55Si una empresa o institución tiene un trámite especial para que puedas ejercer tus derechos ARCOP (acceder, rectificar, cancelar u oponerte al uso de tus datos personales), debe avisarte en máximo 5 días después de que hagas tu solicitud. En ese aviso te explicará que existe ese procedimiento especial, y tú podrás decidir si quieres usarlo o prefieres seguir el proceso normal que ya tiene la empresa para atender estos casos. La decisión es completamente tuya.
• Art. 56Si la autoridad da una respuesta que no te gusta respecto a tu solicitud de ARCOP (Acceso, Rectificación, Cancelación, Oposición y Portabilidad de tus datos), puedes quejarte ante el INAI (Instituto Nacional de Transparencia). Eso se llama recurso de revisión y lo tienes que presentar dentro de los 15 días hábiles después de que te notifiquen la respuesta. Sirve para que la autoridad revise si actuó bien y te dé la razón si te afectaron.
• Art. 57Si tienes tus datos personales guardados en un sistema electrónico, como un sitio web o una aplicación, tienes derecho a pedir una copia de esos datos en un formato que puedas usar fácilmente, como un archivo de Excel o PDF. Además, si tú mismo proporcionaste esos datos y la empresa los usa porque tú le diste permiso o por un contrato, puedes pedir que los transfieran directamente a otro sistema o servicio, sin que te pongan trabas. Esto aplica solo para información que esté en un formato digital ordenado, como listas o bases de datos, no para papeles o sistemas desordenados.
• Art. 58El artículo 58 dice que si una empresa o persona externa maneja tus datos personales por encargo de una institución, esa persona solo puede usarlos para lo que le pidieron, sin cambiarlo ni decidir por su cuenta. Es como si le prestaras tu coche a un amigo para que vaya al súper: no puede usarlo para ir a la playa ni decidir llevarlo a otro lado sin tu permiso. Todo lo que haga debe estar dentro de lo que tú, como responsable, le indicaste.
• Art. 59Si una empresa (el responsable) contrata a alguien más (el encargado) para manejar tus datos personales, deben firmar un contrato o acuerdo por escrito que demuestre qué datos tratarán, para qué y cómo. El encargado solo puede usar tus datos para lo que le pida la empresa, no para otros fines. También está obligado a protegerlos con medidas de seguridad, y si hay un accidente o fuga de datos, debe avisar inmediatamente a la empresa. Cuando termine el servicio, tiene que borrar o devolver todos tus datos, a menos que una ley diga lo contrario. Y no puede compartir tus datos con nadie más sin permiso de la empresa, excepto si lo ordena una autoridad.
• Art. 60La persona que maneja tus datos personales (el encargado) tiene que seguir las instrucciones de quien decide cómo usarlos (el responsable). Si el encargado desobedece esas órdenes y actúa por su cuenta, entonces se convierte automáticamente en el responsable legal de lo que haga con tu información. Esto significa que, si se pasa de listo, él mismo va a tener que pagar los platos rotos ante la ley. En pocas palabras, si alguien a quien le confiaron tus datos se pone a hacer cosas que no le autorizaron, el que las hizo es el único que responde.
• Art. 61La persona que maneja tus datos (el encargado) puede contratar a otra empresa para que también los use, pero solo si el responsable original (quien te pidió los datos) le da permiso por escrito. Si ya desde el principio el contrato entre ellos decía que el encargado podía hacer esto, ese permiso ya está incluido, sin necesidad de pedirlo otra vez. La nueva empresa contratada se vuelve también responsable de cuidar tus datos según la ley.
• Art. 62Una vez que la empresa principal te dé permiso por escrito, tú, como contratista, tienes que hacer un contrato con la persona o empresa que vas a subcontratar. Puedes usar el tipo de documento que más te acomode, siempre y cuando esté dentro de la ley y demuestre claramente qué servicio se va a dar, hasta dónde llega y en qué consiste. Todo esto debe cumplir con lo que dice este capítulo de la ley.
• Art. 63Cuando una empresa o persona (el responsable) contrata servicios de computación en la nube o de otro proveedor externo para manejar datos personales, ese proveedor tiene la obligación de proteger esos datos siguiendo las mismas reglas de la ley. Para asegurarse de esto, el responsable debe poner por escrito, en un contrato o documento legal, hasta dónde puede usar los datos el proveedor.
• Art. 64Este artículo dice que cuando uses un servicio de computación en la nube (como guardar fotos o archivos en internet), la empresa que te da el servicio debe cumplir ciertas reglas para proteger tus datos personales. Por ejemplo, debe tener políticas claras para cuidar tu información, no puede decir que los datos son de ella, y debe mantenerlos en secreto. También debe permitirte controlar cómo se usan tus datos, borrarlos cuando ya no los necesites, y avisarte si alguien más (como una autoridad) pide verlos. Tú, como responsable, no puedes contratar un servicio que no garantice todo esto según la ley.
• Art. 65Si alguien quiere usar tus datos personales, como tu nombre, dirección o fotos, necesita pedirte permiso primero, aunque sea para enviarlos a otro país. Pero hay casos en los que no te tienen que preguntar, como cuando la ley lo permite para investigar fraudes o proteger tu salud. En esos casos especiales, pueden compartir tu información sin tu autorización.
• Art. 66Cuando una empresa o persona (llamada "responsable") quiera compartir tus datos personales con alguien más, debe firmar un contrato o acuerdo donde explique para qué usará tus datos y qué obligaciones tiene cada quien. Esto aplica tanto para transferencias dentro de México como al extranjero. Sin embargo, hay dos casos donde no se necesita firmar ese contrato: primero, cuando la ley obligue a compartir los datos con otra empresa o autoridad en México, y segundo, cuando se trate de una transferencia a otro país que esté permitida por un tratado internacional que México haya firmado, o cuando una autoridad extranjera lo pida y tenga facultades similares a las de quien comparte los datos. En estos casos, la ley ya cubre la protección de tu información.
• Art. 67Cuando te pasan tus datos personales de una empresa a otra dentro de México, la empresa que los recibe tiene la obligación de mantenerlos en secreto y solo usarlos para lo que acordaron. Además, debe respetar lo que dice el aviso de privacidad que la primera empresa le entregó. En pocas palabras, tus datos no pueden usarse para otro fin distinto al que aceptaste desde un principio.
• Art. 68El artículo 68 dice que quien maneja tus datos personales solo puede enviarlos al extranjero si la persona o empresa que los recibe se compromete a cuidarlos igual que lo exige la ley mexicana. O sea, no pueden mandar tu información a otro país sin asegurarse de que la van a proteger con las mismas reglas. Esto aplica tanto si se los pasan a otra empresa como a un encargado de procesarlos. La idea es que tus datos estén seguros sin importar dónde terminen.
• Art. 69Cuando alguien te da tus datos a otra persona o empresa, quien los entregó debe decirle a quien los recibe para qué se van a usar tus datos, igual que te lo explicaron a ti. Así, todas las partes involucradas saben exactamente cuál es el propósito de tener tu información. Esto evita que usen tus datos para algo que no acordaste desde el principio.
• Art. 70La persona o empresa que maneja tus datos (el "responsable") puede compartirlos con otros sin pedirte permiso solo en ciertos casos. Por ejemplo, cuando una ley, un tratado internacional o un acuerdo lo ordene, o si los datos se usan para el mismo propósito para el que los diste y con alguien que también maneje datos legalmente. También puede hacerlo si una autoridad se los pide para investigar delitos o para que puedas defender un derecho tuyo, como en un juicio. Otras situaciones son por razones médicas, para cumplir un contrato en el que tú estés involucrado, o cuando la ley ya permite que usen tus datos sin tu consentimiento, como dice el artículo 16 de esta misma ley. En todos estos casos, no necesitan avisarte ni pedir tu "sí".
• Art. 71El artículo 71 dice que una empresa o persona que maneja tus datos (el "responsable") puede crear o usar reglas voluntarias para proteger mejor tu información. Puede hacerlo sola o junto con otras empresas u organizaciones. Estas reglas sirven para cinco cosas: que tus datos estén más seguros, que todas las empresas de un mismo sector traten la información de manera parecida, que te sea más fácil ejercer tus derechos ARCOP (Acceso, Rectificación, Cancelación, Oposición y Portabilidad), que se cumplan mejor las leyes de protección de datos y que puedan comprobarle a la autoridad local o federal que están cumpliendo con la ley. En otras palabras, son buenas prácticas que ayudan a que tus datos estén más protegidos.
• Art. 72Este artículo dice que si una empresa o institución quiere que su plan o método para proteger datos personales sea reconocido oficialmente, tiene que cumplir dos cosas: primero, seguir las reglas que las autoridades de protección de datos establezcan, de acuerdo al programa nacional. Segundo, avisar formalmente a esas autoridades sobre su plan, para que lo revisen y, si cumple, lo aprueben y lo anoten en un registro especial. Las autoridades locales y las garantes son las que deciden cómo va a funcionar ese registro. Además, esas autoridades pueden meter los planes ya aprobados en otro registro más grande que maneja la Secretaría de la Función Pública, siempre siguiendo las reglas de esa dependencia.
• Art. 73Cuando algún organismo del gobierno quiera usar o meter cambios a sistemas de cómputo, aplicaciones o tecnologías que manejen muchos datos personales o información importante de la gente, tiene que avisarle antes al organismo encargado de proteger esos datos en tu estado o ciudad. Para eso, debe entregar un estudio especial que muestre cómo afecta la privacidad, y así ese organismo pueda darle recomendaciones para cuidar mejor tu información. Ese estudio y las recomendaciones deben seguir las reglas que ponga un grupo nacional llamado Sistema Nacional de Transparencia.
• Art. 74El artículo 74 dice que cuando se usen datos personales para buscar, localizar o identificar a personas desaparecidas, se tiene que seguir la ley especial que habla de ese tema. Las autoridades o instituciones que manejen esos datos solo pueden usarlos para encontrar a la persona o saber quién es. No pueden compartir esa información con nadie más ni usarla para otros asuntos que no tengan que ver con la búsqueda.
• Art. 75El artículo 75 dice que hay ciertos casos donde manejar datos personales es algo muy delicado y importante, por lo que se necesita hacer un estudio especial llamado "manifestación de impacto". Esto aplica cuando: son muchos los dueños de los datos, se usa tecnología avanzada, se manejan datos sensibles (como salud o religión), se busca un beneficio social o económico grande, hay riesgos para la privacidad, se manejan datos de mucha gente durante mucho tiempo, o se piensa compartir esos datos con otros.
• Art. 76Si una empresa o institución va a usar datos personales en un nuevo sistema, app o política pública, primero debe hacer un estudio de cómo proteger esa información. Ese estudio se llama "evaluación de impacto" y sirve para ver los riesgos. Tienen que entregarlo al organismo de transparencia de tu estado o al que le corresponda, al menos 30 días antes de estrenar o cambiar el sistema. El organismo revisará el estudio y dará su opinión oficial sobre si cumple con la ley.
• Art. 77La autoridad encargada de proteger tus datos personales (como un organismo local o federal) tiene 30 días para darte una respuesta después de que entregues tu evaluación de impacto. En su respuesta, te va a decir qué riesgos encontró para tu privacidad y cómo puedes solucionarlos o reducirlos. Es como un chequeo que te ayuda a evitar que tu información termine en malas manos.
• Art. 78El artículo 78 dice que si la persona encargada cree que al empezar a usar un sistema nuevo o cambiar uno existente (como una aplicación o programa que maneje muchos datos personales) se puedan arruinar los resultados esperados, o si hay una emergencia, entonces no necesita presentar la evaluación de impacto antes de ponerlo en marcha. En lugar de eso, tiene 20 días después de haberlo empezado a usar para entregar ese estudio. Esto aplica, por ejemplo, en situaciones de seguridad, justicia o cuando se necesita actuar rápido por una urgencia. La evaluación de impacto es un análisis que mide si el manejo de datos personales puede causar riesgos.
• Art. 79El artículo dice que la policía o los juzgados pueden obtener tus datos personales sin pedirte permiso, pero solo si es para evitar un peligro para la seguridad pública o para investigar un delito. Además, solo pueden tomar la información que sea justa y necesaria para ese fin, sin excederse. Estos datos deben guardarse en sistemas especiales creados solo para eso. Si alguna autoridad quiere usar información que empresas o personas tienen guardada por ley, también debe seguir estas reglas.
• Art. 80Solo un juez puede ordenar que se intervenga una comunicación privada, como una llamada o un mensaje. Nadie más, ni la policía ni otra autoridad, puede hacerlo sin su permiso. Esto protege tu derecho a que nadie espíe tus conversaciones sin una orden legal. Las únicas personas que pueden escuchar o leer tus comunicaciones sin permiso son aquellas que participan directamente en ellas.
• Art. 81Las personas o instituciones que manejan datos personales muy delicados (como los que usan la policía, los juzgados o los sistemas de seguridad) tienen la obligación de poner candados muy fuertes para cuidar esa información. Esos candados deben evitar que los datos se dañen, se pierdan, los modifiquen o los borren sin permiso. También tienen que impedir que alguien los use, los vea o los toque si no está autorizado. Todo esto sirve para que la información esté completa, siempre disponible cuando se necesite y sea secreta. En otras palabras, deben garantizar que los datos personales estén bien protegidos en todo momento.
• Art. 82El artículo 82 dice que cada institución (como una dependencia de gobierno) debe tener un Comité de Transparencia. Este comité se forma y trabaja según lo que marca la Ley de Transparencia de la Ciudad de México y otras reglas. Además, ese comité es la autoridad más importante en asuntos de protección de datos personales, como tu información privada.
• Art. 83El Artículo 83 habla sobre las tareas que tiene el Comité de Transparencia, que es el grupo encargado de vigilar cómo se cuida tu información personal. Este comité debe asegurarse de que todas las oficinas públicas que manejan tus datos, como tu nombre o dirección, lo hagan de manera correcta y segura. También organiza los procedimientos para que puedas ejercer tus derechos ARCOP, que son pedir que te muestren, corrijan, eliminen o limiten el uso de tus datos personales. Además, el comité capacita a los empleados públicos sobre cómo proteger tu información y, si detecta algo sospechoso, como que alguien borró tus datos sin razón válida, se lo reporta al área de control interno para que investigue.
• Art. 84Cada institución pública debe tener una Unidad de Transparencia, que es una oficina que trabaja según la Ley de Transparencia. Esta unidad tiene que ayudarte a ti como ciudadano a ejercer tu derecho de proteger tus datos personales, y también debe recibir y gestionar tus solicitudes para acceder, corregir, cancelar u oponerte al uso de tu información (derechos ARCOP). Además, debe asegurarse de que solo tú o alguien autorizado por ti reciba tus datos, y decirte cuánto cuesta si pides copias o envíos. Por último, si la institución maneja información muy delicada o importante, puede nombrar a un especialista en protección de datos para que se encargue de estas tareas dentro de la unidad.
• Art. 85Tienes que asegurarte de que las personas con discapacidad o que pertenecen a grupos que necesitan atención especial (como adultos mayores o niños) puedan proteger su información personal sin problemas y en las mismas condiciones que los demás. Esto significa que, como responsable del uso de esos datos, debes poner las herramientas o adaptaciones necesarias para que nadie tenga dificultades para ejercer ese derecho. Por ejemplo, si alguien no puede leer, podrías darle opciones para que entienda cómo usas sus datos. Al final, se trata de que no haya barreras y todos tengan las mismas oportunidades para controlar su información.
• Art. 86La autoridad local que cuida los datos personales en la Ciudad de México se encarga de asegurar que todas las dependencias del gobierno y las Alcaldías cumplan con esta ley y las reglas que de ella salgan. Su trabajo principal es vigilar que traten tu información personal de manera correcta, legal y segura.
• Art. 87La Autoridad Garante Local (la oficina encargada de proteger tus datos personales) tiene varias tareas importantes. Puede revisar quejas de personas cuando alguien cree que no se respetaron sus derechos de privacidad, y también puede sancionar a quienes incumplan la ley. Además, debe promover que todos conozcan sus derechos sobre la protección de datos, incluso en lenguas indígenas o con ajustes para personas con discapacidad. También puede evaluar a las empresas o instituciones para asegurarse de que cuiden bien tu información personal. Por último, puede recomendar mejoras y capacitar a quienes manejan datos para que lo hagan correctamente.
• Art. 88Las autoridades encargadas de proteger tus datos personales tienen varias tareas importantes: pueden revisar y resolver tus quejas si una empresa o institución no respeta tu privacidad, y también pueden aplicar multas o sanciones para asegurarse de que se cumplan sus decisiones. Además, deben informarte sobre tus derechos de protección de datos, asegurarse de que las personas con discapacidad o en situaciones vulnerables puedan ejercer esos derechos igual que todos, y coordinarse con otras autoridades para atender solicitudes en lenguas indígenas. También hacen estudios para entender mejor el tema, capacitan a las empresas sobre cómo cuidar tu información, y pueden sugerir mejoras (aunque no obligarlas) cuando revisan cómo una empresa maneja tus datos personales.
• Art. 89Este artículo dice que para crear, elegir miembros y hacer funcionar a las autoridades que protegen tus datos personales, se debe seguir lo que marca la Ley de Transparencia y otras leyes relacionadas. En pocas palabras, no pueden hacerlo al aventón, sino que deben respetar las reglas ya establecidas. Es como si te dijeran que para armar un equipo tienes que usar el manual de instrucciones que ya existe.
• Art. 90Las personas o empresas encargadas de manejar datos personales deben ayudar a las autoridades locales de protección de datos a capacitar sin descanso a todos los funcionarios públicos en este tema. Esto se hace dando cursos, talleres, seminarios o cualquier otro tipo de enseñanza que consideren útil. En otras palabras, tienen que cooperar para que los servidores públicos aprendan bien cómo cuidar tu información personal. Es como si todos se pusieran de acuerdo para enseñarles lo que necesitan saber. Esto aplica siempre, no solo una vez.
• Art. 91Las autoridades encargadas de proteger tus datos personales deben asegurarse de que en las escuelas de todos los niveles (desde kinder hasta universidad) se enseñe qué son tus datos personales y cómo cuidarlos. También tienen que apoyar a las universidades para crear centros donde se investigue y se hable sobre este tema. Además, deben promover espacios donde tú y otros ciudadanos puedan platicar y compartir ideas con las instituciones sobre el manejo de su información privada.
• Art. 92Si no estás de acuerdo con la respuesta que te dieron sobre tus datos personales, puedes presentar una queja llamada "recurso de revisión". Puedes hacerlo directamente, por correo certificado o por internet, ante la autoridad de protección de datos de tu estado o ante la Unidad de Transparencia de la institución que te respondió. Cuando la Unidad de Transparencia te dé su respuesta, debe explicarte que tienes derecho a presentar este recurso y cómo hacerlo. Si entregas el recurso en la Unidad de Transparencia, esa unidad tiene hasta el día siguiente para enviarlo a la autoridad de protección de datos. Para saber si presentaste el recurso a tiempo, cuentan la fecha en que lo entregaste en la Unidad de Transparencia o lo enviaste por correo. Pero para el tiempo que tiene la autoridad para resolver, cuentan la fecha en que ellos lo reciben.
• Art. 93Si alguien te da una respuesta a tu solicitud sobre tus datos personales (como pedir verlos, corregirlos, borrarlos o que no los usen), tienes 15 días para presentar una queja llamada "recurso de revisión" si no estás de acuerdo. También puedes hacerlo si pasó el plazo legal y nunca te contestaron. Puedes presentar esta queja tú mismo o con un abogado, ya sea por escrito libre, en un formato especial de la autoridad de protección de datos, o por internet.
• Art. 94Para identificarte, puedes usar tu credencial del INE, pasaporte o cualquier identificación oficial. También puedes usar tu e.firma (antes FIEL) o algún otro método electrónico aprobado por las autoridades de la Ciudad de México. Si usas tu e.firma o un instrumento electrónico válido, no tendrás que entregar copia de tu identificación.
• Art. 95Si alguien va a hacer un trámite por ti (tu representante), necesita comprobar que realmente tiene tu permiso. Si tú eres una persona, tu representante puede demostrarlo con una carta firmada por ti y dos testigos (con copia de sus identificaciones), con un documento ante notario, o yendo contigo a presentarse personalmente ante la autoridad. Si quien te representa es una empresa o asociación, solo se acepta un documento hecho ante notario. Esto es para evitar fraudes y asegurar que todo esté en orden.
• Art. 96Si alguien falleció y quieres revisar o modificar sus datos personales, solo puedes hacerlo si demuestras que tienes un interés legal válido, como ser familiar directo, heredero o albacea (la persona encargada de cumplir la voluntad del difunto). También puedes hacerlo si un juez te da la orden expresa. Esto aplica siempre que las leyes lo permitan. En pocas palabras, no cualquier persona puede acceder a esa información, solo quienes tengan un derecho claro reconocido por la ley.
• Art. 97Este artículo habla sobre cómo se te deben avisar las cosas cuando estás en un proceso de queja o revisión por violaciones a tus datos personales. En pocas palabras, las notificaciones que te manden las autoridades de transparencia de la Ciudad de México empiezan a contar desde el día siguiente de que te las entreguen. Te pueden notificar de varias formas: en persona (la primera vez que te avisan, cuando te pidan algo, cuando te pidan documentos o cuando se termine el asunto), por correo certificado o por medios digitales oficiales, por correo postal o correo electrónico normal para asuntos que no sean tan importantes, o pegando un aviso en un lugar público (llamado "estrados") si no te encuentran en tu casa o no saben dónde estás.
• Art. 98El artículo 98 dice que los tiempos legales que se mencionan en esta sección empiezan a contar desde el día después de que te hayan notificado oficialmente algo. Por ejemplo, si te entregan un aviso un lunes, el plazo corre a partir del martes. La notificación es cuando te avisan de forma oficial sobre un trámite o decisión, ya sea en persona o por escrito. No se cuenta el mismo día en que recibes la notificación.
• Art. 99El artículo dice que la persona encargada de un organismo público (el titular) y la que recibe las peticiones de información (el sujeto obligado) tienen que responder a los pedidos de datos que les hagan las autoridades locales de transparencia. Esto lo deben hacer en los tiempos y bajo las reglas que esas autoridades fijen. En otras palabras, si pides información pública, el responsable debe contestarte dentro del plazo que marque la autoridad garante de tu estado.
• Art. 100Cuando alguien presenta un recurso de revisión, puede ofrecer diferentes tipos de pruebas para demostrar su caso, como documentos oficiales o privados, fotos, videos, páginas de internet, testigos, peritos o una inspección. No se puede pedir la declaración bajo protesta de una autoridad. La autoridad que revisa el caso también puede buscar otras pruebas que considere necesarias, siempre y cuando no estén prohibidas por la ley.
• Art. 101Cuando te piden tus datos personales y algo sale mal, puedes presentar un recurso de revisión, que es como una queja formal. Sirve cuando una empresa o autoridad no te da tus datos, te los entrega incompletos o diferentes a lo que pediste. También aplica si se niegan a corregir, eliminar o compartir tu información, o si te ponen trabas para hacerlo. Incluso puedes usarlo si no te responden a tiempo o si te cobran de más por darte copias de tus datos.
• Art. 102Este artículo explica cuándo se considera que una institución o autoridad (sujeto obligado) no te respondió como debía. Pasa si se vence el plazo legal y no te dicen nada sobre tu solicitud de ver, corregir, borrar, oponerte o mover tus datos personales. También si te dicen que ya te respondieron o te mandaron la información, pero no lo pueden comprobar. O si su respuesta realmente es una excusa para darte largas o pedirte más tiempo. Por último, si te dicen que por mucho trabajo o problemas internos no pueden atenderte, eso también cuenta como falta de respuesta.
• Art. 103Si quieres quejarte porque un organismo público no te respondió o te dio una respuesta que no te gusta sobre tus derechos ARCOP (saber, corregir, cancelar u oponerte al uso de tus datos personales), debes presentar un recurso de revisión. Ese escrito debe incluir: el nombre del organismo al que le pediste la información; tu nombre completo o el de tu representante, y una dirección o medio para que te avisen sobre tu queja; la fecha en que te dieron la respuesta o, si nunca te contestaron, la fecha en que hiciste tu solicitud; qué fue lo que te molestó y por qué estás inconforme; una copia de la respuesta que te dieron, si la tienes; y documentos que comprueben tu identidad o la de tu representante. Además, puedes agregar pruebas o cualquier otro dato que ayude a tu caso. Lo bueno es que no tienes que ir a firmar o confirmar el recurso después de presentarlo.
• Art. 104Si presentas un recurso de revisión (un escrito para impugnar una decisión) y te faltó algún requisito, la autoridad de transparencia te pedirá una sola vez que lo corrijas en un plazo máximo de 3 días. Tú tendrás 5 días a partir de que recibas el aviso para arreglar las fallas; si no lo haces, tu recurso será rechazado. Mientras tanto, el plazo que la autoridad tiene para resolver se detiene y se reactiva hasta que entregues la información correcta. Pero si presentas el recurso fuera del tiempo legal, la autoridad lo rechazará de inmediato y te avisará en un máximo de 5 días hábiles.
• Art. 105Cuando alguien presenta un recurso de revisión (un tipo de queja formal) y es aceptado, la autoridad encargada de proteger tus datos puede intentar que tú y la persona o empresa responsable lleguen a un acuerdo. Si logran ponerse de acuerdo, ese trato se escribe en un papel y ambas partes deben cumplirlo obligatoriamente. Al firmar el acuerdo, el recurso de revisión ya no tiene razón de ser y se cancela. La autoridad se encargará de vigilar que se cumpla lo pactado.
• Art. 106Si alguien presenta una queja por violación a sus datos personales, la autoridad encargada intentará que la persona que se queja y la empresa o institución acusada resuelvan el asunto por sí mismas, en lugar de seguir un juicio largo. Le darán a ambas partes un plazo máximo de 7 días para que digan si están de acuerdo en sentarse a platicar y llegar a un arreglo. Si las dos partes aceptan, se fijará una cita (que puede ser presencial o por videollamada) para encontrar una solución en un plazo de 10 días. Si una de las partes no asiste a la cita sin una excusa válida, el proceso sigue adelante como si no hubiera trato. Si llegan a un acuerdo, se firma por escrito y es obligatorio cumplirlo, con lo que el caso se cierra. Este paso de la conciliación no aplica cuando el afectado es un niño, niña o adolescente.
• Art. 107La autoridad encargada de proteger tus datos personales en tu estado (la Autoridad Garante Local) tiene hasta 30 días para resolver si alguien se queja por escrito de que no se respetó su privacidad. Ese plazo empieza a contar desde que aceptan formalmente la queja. Solo en casos especiales pueden pedir una prórroga de 10 días más, pero nada más una vez.
• Art. 108Cuando presentes una queja formal (recurso de revisión) ante la autoridad encargada (Autoridad Garante), esa autoridad tiene la obligación de ayudarte a corregir o complementar tu queja si tiene errores, siempre y cuando no cambie los hechos principales que contaste. Esto significa que si en tu escrito faltan palabras técnicas o cosas legales, la autoridad las va a completar por ti para que tu queja sea válida. Además, la autoridad debe asegurarse de que tú y la otra persona involucrada tengan oportunidad de presentar pruebas y explicar claramente por qué tienen razón en lo que están pidiendo. Todo esto lo hacen sin alterar el problema o lo que ya denunciaste.
• Art. 109Cuando presentas un recurso de revisión, la autoridad encargada debe responder en un máximo de 3 días, ya sea para aceptarlo, pedir más información o rechazarlo. Si tu recurso es aceptado, se abre un expediente y tanto tú como la otra parte tienen hasta 7 días para dar su versión y, si quieren, buscar un acuerdo. Pero aunque quieran negociar, la otra parte igual tiene que presentar su respuesta. Durante esos 7 días, pueden ofrecer pruebas o argumentos, menos declaraciones bajo juramento de los sujetos obligados o pruebas que no sean legales. Si se necesitan más pruebas o juntarse con las partes, la autoridad decide cómo hacerlo. Una vez que se presentan todas las pruebas y argumentos (aunque no se presenten), se cierra la investigación. Después de eso, la autoridad ya no tiene que revisar la información que mande la otra parte. Finalmente, la autoridad tiene 10 días para resolver tu caso.
• Art. 110Cuando presentas una queja formal porque una empresa o institución no te dio tu información personal o no atendió tu solicitud de acceso, corrección, cancelación, oposición o portabilidad de tus datos, la autoridad encargada de revisar el caso puede decidir varias cosas. Puede desechar tu queja si no cumple con los requisitos, confirmar lo que dijo la empresa, cambiar esa respuesta o incluso ordenarle que te dé lo que pediste si no lo hizo. La autoridad también fija plazos para que se cumpla su decisión, y si la autoridad tarda mucho en resolver, se considera que la respuesta original de la empresa es válida. Además, si durante el proceso se descubre que la empresa violó la ley, la autoridad avisará al área de control interno para que investigue y, si toca, aplique una sanción.
• Art. 111El artículo 111 dice que un recurso de revisión (un derecho que tienes para pedir que revisen una decisión) será rechazado sin más trámite si ocurre cualquiera de estas situaciones: lo presentas después del plazo que marca la ley; la persona afectada o su representante no comprueban bien su identidad; el motivo de tu queja no encaja en lo que la ley permite; no respondiste a un aviso de la autoridad en el tiempo indicado; cambias o agregas cosas a tu queja original; o si ya tienes otro recurso o defensa en trámite ante un tribunal por el mismo asunto.
• Art. 112El recurso de revisión (que es como un reclamo que haces si no estás de acuerdo con una respuesta de una autoridad) se cancela o da por terminado en estos casos: si tú, que presentaste el reclamo, decides retirarlo por tu cuenta; si la persona que lo presentó fallece; si después de admitir el reclamo resulta que no cumplía con los requisitos para ser válido según la ley; si la autoridad que te respondió cambia su respuesta original de forma que tu reclamo ya no tiene sentido; o si por cualquier otra razón el reclamo deja de tener razón de ser.
• Art. 113La autoridad que vigila que se cumpla tu derecho a la información (como la Comisión de Transparencia de tu estado) está obligada a avisarte a ti y a los demás involucrados, y también a publicar las resoluciones sin datos personales (versión pública), a más tardar tres días después de haberlas emitido.
• Art. 114Cuando alguien presenta una queja porque un organismo público no le respondió sobre sus datos personales, la autoridad encargada le avisará a ese organismo para que dé una explicación en un máximo de 5 días. Después de recibir esa explicación, la autoridad tiene otros 5 días para decidir si le ordena al organismo que atienda tu solicitud (de ver, corregir, cancelar, oponerte o transferir tus datos). Si te dan la razón, el organismo debe cumplir en 3 días y cubrir los gastos de copias o materiales si los hay. Todo esto es para que tus derechos sobre tu información personal se respeten rápido.
• Art. 115Las decisiones de la Autoridad Garante Local y las Autoridades Garantes —que son las oficinas encargadas de vigilar que se cumpla la ley— son obligatorias y no se pueden cambiar ni impugnar. Esto significa que, si eres un sujeto obligado (como un funcionario público o una institución), tienes que cumplirles sí o sí, pues no hay manera de apelarlas o alegar en su contra. En otras palabras, no puedes llevar esas resoluciones a otro juicio o pedir que las revisen de nuevo.
• Art. 116Si el Instituto, que es la autoridad encargada de proteger tus datos, emite una resolución (una decisión formal) que no te gusta o no estás de acuerdo, tú puedes impugnarla, o sea, puedes contradecirla y pedir que la revisen. Para hacerlo, tienes derecho a presentar un juicio de amparo, que es un proceso legal para defender tus derechos ante un juez. Este amparo se presenta ante jueces especializados en datos personales que pertenecen al Poder Judicial de la Federación. En pocas palabras, puedes llevar el asunto a los tribunales si sientes que la resolución del Instituto no fue justa.
• Art. 117Las dependencias del gobierno (como las oficinas públicas) están obligadas a seguir al pie de la letra las decisiones que tomen los organismos que vigilan la transparencia. Para lograrlo, todas las áreas y empleados de esas dependencias deben apoyar al área encargada de la transparencia, llamada Unidad de Transparencia, para que cumplan con lo ordenado a tiempo. Solo en casos especiales y muy justificados, la dependencia puede pedir más tiempo para cumplir, pero debe explicar por qué y presentar documentos que lo respalden. Ese permiso extra se solicita máximo en los primeros 3 días del plazo que ya tenían, y el organismo de transparencia tiene 5 días para decidir si lo aprueba o no. Si el organismo rechaza la prórroga, la dependencia debe cumplir en el plazo original que le dieron.
• Art. 118Una vez que se cumpla el plazo que marca el artículo anterior, la persona o institución que debe cumplir con la resolución (llamado "sujeto obligado") tiene que avisarle a la autoridad que ya cumplió. Esa autoridad revisará por sí misma si la información entregada es correcta y, al día siguiente de recibir el aviso, le dará chance a la persona que presentó la queja (la "persona recurrente") para que, en los siguientes 5 días, diga si está de acuerdo con cómo se cumplió. Si la persona quejosa cree que no se cumplió bien, tendrá que explicar por escrito las razones específicas por las que piensa eso.
• Art. 119Si la autoridad de transparencia de tu estado o del país recibe una queja tuya, tiene máximo 5 días para revisar si se cumplió con lo que ordenaron. Si ven que sí se cumplió, cierran el caso y lo archivan. Si no se cumplió, entonces dicen que hubo incumplimiento, le avisan al jefe de quien debía cumplir para que lo haga en otros 5 días, y también pueden aplicarte multas u otras sanciones.
• Art. 120Las autoridades locales (como la de tu estado o ciudad) tienen la obligación de revisar que se cumplan las reglas de protección de datos personales que marca esta ley. Las personas que trabajan en esas autoridades no pueden compartir con nadie la información privada que conozcan durante sus revisiones. Si la autoridad te pide documentos o acceso a tus archivos de datos personales para hacer una revisión, no puedes negarte alegando que son secretos o confidenciales.
• Art. 121La verificación (que es una revisión o inspección para checar que se cumpla la ley) puede empezar de tres formas: por iniciativa propia de la autoridad (si tiene señales o pistas de que algo anda mal), por una queja de la persona que cree que la afectaron (como cuando sientes que trataron mal tus datos personales), o por cualquier persona que se entere de que no se están cumpliendo las reglas sobre protección de datos. Si tú presentas una queja, tienes máximo un año para hacerlo desde que pasó el problema, y si fue algo que se repitió varias veces, el plazo empieza a contar desde el último día hábil en que ocurrió. Antes de iniciar la revisión, la autoridad puede hacer investigaciones previas para asegurarse de que tiene razones válidas para actuar; pero no se puede hacer una verificación si ya hay un recurso de revisión (un tipo de queja formal) en proceso sobre el mismo asunto.
• Art. 122Para presentar una denuncia, necesitas dar tu nombre completo (o el de quien te representa), tu domicilio o un medio donde puedas recibir notificaciones (como un correo electrónico), y explicar los hechos con detalles. También debes señalar quién es el responsable de lo que denuncias y cómo localizarlo, y al final poner tu firma o huella digital si no sabes firmar. Puedes hacerlo por escrito, en formatos oficiales, por internet o por cualquier otro medio que la autoridad encargada (la Autoridad Garante) tenga disponible. Cuando entregues tu denuncia, esa autoridad debe darte un comprobante de que la recibió y después notificarte su respuesta.
• Art. 123La autoridad de protección de datos (como un tipo de policía de la privacidad) puede iniciar una revisión solo si tiene una orden por escrito que explique por qué es necesaria. Durante esa revisión, pueden pedirte documentos o ir a tus oficinas, checar dónde guardas los datos personales o los sistemas que usas. Esta revisión no puede durar más de 50 días. Si durante la revisión ven que hay un riesgo grave de que se dañe tu información personal, pueden tomar medidas para detenerlo, como pedirte que corrijas algo de inmediato. Esas medidas son temporales y solo buscan arreglar el problema hasta que sigas sus recomendaciones.
• Art. 124Cuando termina la revisión que hace la autoridad de protección de datos, ellos te dan una respuesta por escrito. En esa respuesta, la autoridad te dice qué medidas tienes que tomar para arreglar lo que detectaron, y te da un tiempo específico para hacerlo.
• Art. 125Este artículo dice que las empresas o personas que manejan datos personales (los "responsables") pueden pedir voluntariamente que una autoridad especializada les haga una auditoría, que es como una revisión a fondo para checar si están cumpliendo bien con la ley de protección de datos. Al final de esa revisión, la autoridad entrega un informe donde dice si las medidas que tiene el responsable son adecuadas, señala lo que está fallando y también sugiere cómo corregir esos errores o cómo mejorar para proteger mejor los datos. No es obligatorio someterse a esta auditoría, el responsable la pide por su cuenta. Esto es parte de las reglas sobre cómo la autoridad puede obligar a cumplir la ley si alguien se resiste.
• Art. 126Las autoridades encargadas de vigilar la transparencia pueden aplicar dos tipos de castigos para que se cumplan sus órdenes: primero, llamar la atención públicamente a quien no cumpla; segundo, poner una multa que va desde 150 hasta 1,500 veces el valor diario de la Unidad de Medida y Actualización (la UMA, que es una cantidad fija que se actualiza cada año). Si no obedeces, tu incumplimiento se publicará en los portales de transparencia de esas autoridades y se tomará en cuenta en las evaluaciones que hagan. Si al desobedecer podrías estar cometiendo un delito o violando esta ley, las autoridades deben denunciarlo ante el juez o ministerio público. Además, cualquier multa que te pongan no la puedes pagar con dinero del gobierno, tiene que salir de tu bolsa.
• Art. 127Si alguien no obedece una orden de un juez, primero se le aplican unas medidas para presionarlo (como multas). Si aún así no cumple, el juez le avisa al jefe de esa persona, dándole 5 días para que la obligue a cumplir sin tardanza. Si pasan los 5 días y todavía no se obedece, el juez le informa a la autoridad encargada de sancionar a servidores públicos, para que investigue y castigue al que no cumplió.
• Art. 128La Autoridad Garante Local y las Autoridades Garantes (que son las oficinas encargadas de proteger tu derecho a saber) pueden usar medidas de apremio, que son acciones para obligar a alguien a cumplir, como multas o arrestos. Ellas mismas pueden aplicar estas medidas o pedir ayuda a otra autoridad con más poder, como la policía. Todo esto debe hacerse siguiendo los pasos que marcan las leyes correspondientes. En pocas palabras, estas autoridades tienen herramientas para hacer que se respeten tus derechos, pero siempre dentro de lo que dice la ley.
• Art. 129Las multas que ponga la dependencia local encargada de vigilar que se cumplan las leyes de transparencia y las que pongan otras autoridades encargadas de lo mismo las va a cobrar la Secretaría de Finanzas de la CDMX, usando los pasos que marca la ley. Esto significa que si te multan, no le pagas directamente al que te multó, sino que el cobro lo hace Hacienda de la ciudad. El proceso para cobrarte será el que ya tienen establecido las leyes de la CDMX.
• Art. 130El artículo 130 dice que cuando una autoridad quiera imponer una multa o una sanción por no cumplir con sus órdenes, debe tomar en cuenta tres cosas: primero, qué tan grave fue la falta, viendo si hubo daño, si fue a propósito, cuánto tiempo duró el desacato y cómo afectó el trabajo de la autoridad; segundo, la situación económica de la persona que cometió la falta, para no cobrarle una multa imposible de pagar; y tercero, si ya había desobedecido antes. Además, las autoridades deben hacer reglas generales para definir quién y cómo va a evaluar la gravedad de cada caso y cómo van a aplicar las sanciones.
• Art. 131Si cometes la misma falta dos veces, te pueden multar con el doble de lo que pagaste la primera vez. Se considera que eres reincidente cuando, después de que ya te hayan castigado por una infracción, vuelves a cometer otra igual o muy parecida.
• Art. 132Las medidas de apremio son acciones que las autoridades usan para obligarte a cumplir con una obligación. Una vez que te notifiquen que te van a aplicar una de estas medidas, tienen hasta quince días para llevarla a cabo. El plazo empieza a contar desde el momento en que te entregan el aviso oficial. Después de esos quince días, ya no pueden aplicarla.
• Art. 133La amonestación pública es como un llamado de atención en voz alta que te hace la autoridad de transparencia de tu estado o del país. En lugar de hacerlo cualquier persona, debe aplicarla el jefe directo del que cometió la falta. Así, tu propio superior te corrige frente a los demás como una forma de hacer público el error para que no vuelva a pasar.
• Art. 134La autoridad encargada de proteger tus datos (llamada Autoridad Garante) puede pedirle al que cometió la falta información sobre su situación económica, como sus ingresos o propiedades. Si esa persona no entrega los datos, la autoridad calculará la multa usando lo que ya tenga a la mano: por ejemplo, información de registros públicos, internet o páginas web. Además, la autoridad puede pedirle documentos a otras dependencias (como el SAT o el gobierno) para saber cuánto gana el infractor.
• Art. 135El artículo dice que si te imponen una "medida de apremio" (que son acciones para obligarte a cumplir, como una multa o un arresto), sí puedes quejarte legalmente. Para eso, tienes derecho a presentar un recurso (un documento formal para impugnar la decisión) ante el Poder Judicial de la Ciudad de México. O sea, no te quedas sin defensa: puedes acudir a los jueces para que revisen si la medida fue correcta o no.
• Art. 136Este artículo dice que te pueden sancionar si haces alguna de estas cosas al manejar datos personales de otras personas: - Ser descuidado o mentiroso al atender solicitudes sobre derechos ARCOP (son los derechos para acceder, corregir, cancelar u oponerte al uso de tus datos). - No contestar a tiempo o no cumplir con lo que pide la ley cuando alguien ejerce esos derechos. - Usar, esconder, cambiar o destruir datos personales que te tocó cuidar por tu trabajo. - Tratar los datos personales a propósito de manera ilegal, sin pedir permiso al dueño o sin darle el aviso de privacidad. - Clasificar datos como secretos sin razón válida, no protegerlos bien, transferirlos sin seguir las reglas, estorbar a la autoridad que verifica, o no entregar informes a tiempo. Algunas faltas son consideradas **graves**, como actuar a sabiendas o con mala fe, y si repites otras faltas también se vuelven graves. Las multas no se pueden pagar con dinero del gobierno; las cobra la autoridad encargada de proteger los datos personales.
• Art. 137El artículo 137 dice que si alguien comete una falta que lo lleve a un proceso administrativo (por ejemplo, con un jefe o una autoridad), eso no evita que también pueda tener problemas legales de otro tipo. Es decir, puede ser castigado por su trabajo o por la autoridad, y además puede enfrentar una demanda civil (como pagar daños) o incluso una denuncia penal. Cada tipo de responsabilidad se revisa por separado, aunque todo venga de los mismos hechos. En otras palabras, no porque te sancionen en el trabajo, te libras de ir a juicio o pagar por los daños que causaste.
• Art. 138Si una persona que trabaja en el gobierno (servidora pública) comete una falta, las autoridades encargadas de vigilar la ley pueden avisar al área correspondiente o iniciar un proceso para ver si tiene responsabilidad por su trabajo. Cuando terminen el proceso, deben informar si se aplicó o no un castigo. Para hacer esto, las autoridades deben preparar un documento que explique claramente qué hizo mal el servidor público y cómo eso afecta la ley. También tienen que juntar todas las pruebas que sirvan para demostrar que lo que pasó está directamente relacionado con la falta que se investiga.
• Art. 139Este artículo 139, junto con los artículos transitorios, básicamente dice que para aplicar las sanciones de esta nueva ley se van a seguir las reglas que ya existen en la Ley General y en la Ley de Procedimiento Administrativo de la Ciudad de México. Luego, los transitorios explican los pasos para que la ley empiece a funcionar: el gobierno de la ciudad la recibe, se publica en la Gaceta Oficial y, al día siguiente, ya es oficial, excepto por una parte que empieza después. Esa parte especial habla de las funciones de una nueva oficina de la Contraloría, que arrancará hasta que esa oficina esté lista. También se cancela la ley vieja de protección de datos personales que estaba vigente desde 2018, y los trámites que ya estaban en proceso los va a terminar esa nueva oficina cuando empiece a trabajar. Para finalizar, todo esto no puede parar los servicios de protección de datos, y cualquier gasto extra debe salir del presupuesto que ya tienen, sin pedir más dinero.