Artículo 27 de la Ley de Protección de Datos Personales en Posesión de Sujetos Obligados de la Ciudad de México

Si una empresa o institución maneja tus datos personales, debe tomar medidas de seguridad según el riesgo que representen esos datos. Por ejemplo, si son datos muy privados (como tu salud o religión) o si hay muchos clientes afectados, la seguridad debe ser más estricta. La ley divide la protección en tres niveles: básico (para cualquier dato), medio (para datos financieros o de antecedentes) y alto (para datos íntimos como orientación sexual o ADN). Las medidas que tomen solo se reportan a la autoridad de protección de datos para que queden registradas, pero no se hacen públicas.

Texto oficial

Artículo 27. Las medidas de seguridad adoptadas por el responsable deberán considerar: El riesgo inherente a los datos personales tratados; La sensibilidad de los datos personales tratados; El desarrollo tecnológico; Las posibles consecuencias de una vulneración para los titulares; Las transferencias de datos personales que se realicen; El número de personas titulares; Las vulneraciones previas ocurridas en los sistemas de datos; El riesgo por el valor potencial cuantitativo o cualitativo que pudieran tener los datos personales tratados para una tercera persona no autorizada para su posesión; y Estas medidas tendrán al menos los siguientes niveles de seguridad: Básico: relativas a las medidas generales de seguridad cuya aplicación será obligatoria para el tratamiento y protección de todos los sistemas de datos personales en posesión de los sujetos obligados. Medio: se refiere a las medidas de seguridad requeridas para aquellos sistemas de datos relativos a la comisión de infracciones administrativas o penales, hacienda pública, servicios financieros, datos patrimoniales, así como los sistemas que contengan datos con los que se permita obtener evaluación de personalidad o perfiles de cualquier tipo en el presente pasado o futuro. Alto: corresponde a las medidas de seguridad aplicables a sistemas de datos concernientes a ideología, religión, creencias, afiliación política, origen racial o étnico, salud, biométricos, genéticos o vida sexual, así como los que contengan datos recabados para fines policiales, de seguridad, prevención, investigación y persecución de delitos. Las medidas de seguridad que adopten los sujetos obligados para mayores garantías en la protección y resguardo de los sistemas de datos personales, únicamente se comunicarán a la Autoridad Garante Local y a las Autoridades Garantes para su registro.