Artículo 59 de la Ley de Protección de Datos Personales en Posesión de Sujetos Obligados de la Ciudad de México

Si una empresa (el responsable) contrata a alguien más (el encargado) para manejar tus datos personales, deben firmar un contrato o acuerdo por escrito que demuestre qué datos tratarán, para qué y cómo. El encargado solo puede usar tus datos para lo que le pida la empresa, no para otros fines. También está obligado a protegerlos con medidas de seguridad, y si hay un accidente o fuga de datos, debe avisar inmediatamente a la empresa. Cuando termine el servicio, tiene que borrar o devolver todos tus datos, a menos que una ley diga lo contrario. Y no puede compartir tus datos con nadie más sin permiso de la empresa, excepto si lo ordena una autoridad.

Texto oficial

Artículo 59. La relación entre el responsable y el encargado deberá estar formalizada mediante contrato o cualquier otro instrumento jurídico, de conformidad con la normativa que le resulte aplicable, y que permita acreditar su existencia, alcance y contenido. En el contrato o instrumento jurídico que decida el responsable se deberán prever, al menos, las siguientes cláusulas generales relacionadas con los servicios que preste el encargado: Realizar el tratamiento de los datos personales conforme a las instrucciones del responsable; Abstenerse de tratar los datos personales para finalidades distintas a las instruidas por el responsable; Implementar las medidas de seguridad conforme a los instrumentos jurídicos aplicables establecidos en la presente Ley y la naturaleza de los datos; Informar al responsable cuando ocurra una vulneración a los datos personales que trata por sus instrucciones; Guardar confidencialidad respecto de los datos personales tratados; Suprimir o devolver los datos personales objeto de tratamiento una vez cumplida la relación jurídica con el responsable, siempre y cuando no exista una previsión legal que exija la conservación de los datos personales; y Abstenerse de transferir los datos personales salvo en el caso de que el responsable así lo determine, o la comunicación derive de una subcontratación, o por mandato expreso de la autoridad competente. Los acuerdos entre el responsable y el encargado relacionados con el tratamiento de datos personales no deberán contravenir la presente Ley y demás disposiciones aplicables, así como lo establecido en el aviso de privacidad correspondiente.