Artículo 28 de la Ley de Protección de Datos Personales en Posesión de Sujetos Obligados de la Ciudad de México

Si tienes un negocio o organización y manejas datos personales de clientes, este artículo te dice lo que debes hacer para cuidarlos. Primero, tienes que crear reglas internas que digan cómo obtienes, usas y borras esos datos, según lo que hagas con ellos. También debes dejar claro qué debe hacer cada persona de tu equipo con esos datos, y hacer una lista de toda la información personal que guardas. Además, tienes que analizar qué riesgos hay (como hackeos o errores humanos) y comparar lo que ya tienes para proteger los datos con lo que te hace falta. Por último, necesitas un plan para poner en marcha las medidas que te faltan, checar seguido que todo funcione, y capacitar a tu personal según lo que le toque hacer con los datos.

Texto oficial

Artículo 28. Para establecer y mantener las medidas de seguridad para la protección de los datos personales, el responsable deberá realizar, al menos, las siguientes actividades interrelacionadas: Crear políticas internas para la gestión y tratamiento de los datos personales, que tomen en cuenta el contexto en el que ocurren los tratamientos y el ciclo de vida de los datos personales, es decir, su obtención, uso y posterior supresión; Definir las funciones y obligaciones del personal involucrado en el tratamiento de datos personales; Elaborar un inventario de datos personales contenidos en los sistemas de datos; Realizar un análisis de riesgo de los datos personales, considerando las amenazas y vulnerabilidades existentes para los datos personales y los recursos involucrados en su tratamiento, como pueden ser, de manera enunciativa más no limitativa, hardware, software, personal del responsable, entre otros; Realizar un análisis de brecha, comparando las medidas de seguridad existentes contra las faltantes en la organización del responsable; Elaborar un plan de trabajo para la implementación de las medidas de seguridad faltantes, así como las medidas para el cumplimiento cotidiano de las políticas de gestión y tratamiento de los datos personales; Monitorear y revisar de manera periódica las medidas de seguridad implementadas, así como las amenazas y vulneraciones a las que están sujetos los datos personales; y Diseñar y aplicar diferentes niveles de capacitación del personal bajo su mando, dependiendo de sus roles y responsabilidades respecto del tratamiento de los datos personales.