Artículo 28 de la LEY DE PROTECCIÓN DE DATOS PERSONALES EN POSESIÓN DE SUJETOS OBLIGADOS DE LA CIUDAD DE MÉXICO.

La persona o empresa que guarda tus datos personales tiene que hacer varias cosas para cuidarlos bien. Primero, debe crear reglas internas sobre cómo manejar tus datos desde que los obtiene hasta que los borra. También tiene que decirle a cada empleado qué le toca hacer con esos datos y entrenarlos según su puesto. Además, debe hacer una lista de todos los datos que tiene, revisar los riesgos y peligros para tu información, y comparar si les faltan medidas de seguridad. Por último, tiene que hacer un plan para poner en marcha lo que falta y revisar periódicamente que todo esté funcionando.

Texto oficial

Artículo 28. Para establecer y mantener las medidas de seguridad para la protección de los datos personales, el responsable deberá realizar, al menos, las siguientes actividades interrelacionadas: I. Crear políticas internas para la gestión y tratamiento de los datos personales, que tomen en cuenta el contexto en el que ocurren los tratamientos y el ciclo de vida de los datos personales, es decir, su obtención, uso y posterior supresión; II. Definir las funciones y obligaciones del personal involucrado en el tratamiento de datos personales; III. Elaborar un inventario de datos personales contenidos en los sistemas de datos; IV. Realizar un análisis de riesgo de los datos personales, considerando las amenazas y vulnerabilidades existentes para los datos personales y los recursos involucrados en su tratamiento, como pueden ser, de manera enunciativa más no limitativa, hardware, software, personal del responsable, entre otros; V. Realizar un análisis de brecha, comparando las medidas de seguridad existentes contra las faltantes en la organización del responsable; VI. Elaborar un plan de trabajo para la implementación de las medidas de seguridad faltantes, así como las medidas para el cumplimiento cotidiano de las políticas de gestión y tratamiento de los datos personales; VII. Monitorear y revisar de manera periódica las medidas de seguridad implementadas, así como las amenazas y vulneraciones a las que están sujetos los datos personales; y VIII. Diseñar y aplicar diferentes niveles de capacitación del personal bajo su mando, dependiendo de sus roles y responsabilidades respecto del tratamiento de los datos personales.