Artículo 27 de la LEY DE PROTECCIÓN DE DATOS PERSONALES EN POSESIÓN DE SUJETOS OBLIGADOS DE LA CIUDAD DE MÉXICO.

La persona o empresa que guarda tus datos personales debe poner medidas de seguridad para protegerlos, y para eso tiene que considerar varios factores, como qué tan riesgosos o delicados son tus datos, la tecnología actual, qué pasaría si alguien los roba, cuántas personas están afectadas y si ha habido filtraciones antes. Además, la ley dice que hay tres niveles de seguridad según el tipo de información. El nivel básico es para todos los datos y es obligatorio; el nivel medio aplica a datos como multas, finanzas o perfiles de personalidad; y el nivel alto es para cosas muy privadas como tu religión, salud, orientación sexual o datos biométricos. Las medidas que se tomen solo se le informan a la autoridad de protección de datos para que las registre, pero no se hacen públicas.

Texto oficial

Artículo 27. Las medidas de seguridad adoptadas por el responsable deberán considerar: I. El riesgo inherente a los datos personales tratados; II. La sensibilidad de los datos personales tratados; III. El desarrollo tecnológico; IV. Las posibles consecuencias de una vulneración para los titulares; V. Las transferencias de datos personales que se realicen; VI. El número de personas titulares; VII. Las vulneraciones previas ocurridas en los sistemas de datos; VIII. El riesgo por el valor potencial cuantitativo o cualitativo que pudieran tener los datos personales tratados para una tercera persona no autorizada para su posesión; y IX. Estas medidas tendrán al menos los siguientes niveles de seguridad: a. Básico: relativas a las medidas generales de seguridad cuya aplicación será obligatoria para el tratamiento y protección de todos los sistemas de datos personales en posesión de los sujetos obligados. b. Medio: se refiere a las medidas de seguridad requeridas para aquellos sistemas de datos relativos a la comisión de infracciones administrativas o penales, hacienda pública, servicios financieros, datos patrimoniales, así como los sistemas que contengan datos con los que se permita obtener evaluación de personalidad o perfiles de cualquier tipo en el presente pasado o futuro. c. Alto: corresponde a las medidas de seguridad aplicables a sistemas de datos concernientes a ideología, religión, creencias, afiliación política, origen racial o étnico, salud, biométricos, genéticos o vida sexual, así como los que contengan datos recabados para fines policiales, de seguridad, prevención, investigación y persecución de delitos. Las medidas de seguridad que adopten los sujetos obligados para mayores garantías en la protección y resguardo de los sistemas de datos personales, únicamente se comunicarán a la Autoridad Garante Local y a las Autoridades Garantes para su registro.