Artículo 61 de la Ley de Protección de Datos Personales en Posesión de Sujetos Obligados de la Ciudad de México

La persona que maneja tus datos (el encargado) puede contratar a otra empresa para que también los use, pero solo si el responsable original (quien te pidió los datos) le da permiso por escrito. Si ya desde el principio el contrato entre ellos decía que el encargado podía hacer esto, ese permiso ya está incluido, sin necesidad de pedirlo otra vez. La nueva empresa contratada se vuelve también responsable de cuidar tus datos según la ley.

Texto oficial

Artículo 61. La persona encargada podrá, a su vez, subcontratar servicios que impliquen el tratamiento de datos personales por cuenta del responsable, siempre y cuando medie la autorización expresa de este último, en este caso, la persona subcontratada asumirá el carácter de persona encargada en los términos de la presente la Ley y demás disposiciones que resulten aplicables en la materia. Cuando el contrato o el instrumento jurídico mediante el cual se haya formalizado la relación entre el responsable y la persona encargada, prevea que esta última pueda llevar a cabo a su vez las subcontrataciones de servicios, la autorización a la que refiere el párrafo anterior se entenderá como otorgada a través de lo estipulado en estos.