Artículo 36 de la Ley de Protección de Datos Personales en Posesión de Sujetos Obligados de la Ciudad de México

Cuando ocurra un incidente con tus datos personales (como un robo o filtración), la empresa o persona responsable debe avisarte y decirte qué pasó, qué datos tuyos se vieron afectados, qué puedes hacer para protegerte, qué medidas ya tomaron para solucionarlo y dónde puedes pedir más información. Además, la autoridad de protección de datos (como el INAI o la autoridad local) puede revisar si lo están haciendo bien y darles recomendaciones que deberán cumplir en un plazo que ella misma fije.

Texto oficial

Artículo 36. El responsable deberá informar a la persona titular al menos lo siguiente: La naturaleza del incidente; Los datos personales comprometidos; Los derechos de la persona titular que pueda adoptar para proteger sus datos; Las acciones correctivas realizadas de forma inmediata; y Los medios donde puede obtener más información al respecto. Lo anterior, sin demérito de que la Autoridad Garante Local o la Autoridad Garante respectivamente pueda realizar una inspección o verificación sobre las medidas adoptadas para mitigar el impacto en los datos personales de las personas, así como emitir las recomendaciones que se solventarán en el tiempo establecido por la Autoridad Garante Local o la autoridad garante respectivamente.