Artículo 31 de la LEY DE PROTECCIÓN DE DATOS PERSONALES EN POSESIÓN DE SUJETOS OBLIGADOS DE LA CIUDAD DE MÉXICO.

El responsable (la persona o empresa que maneja tus datos personales) debe actualizar su documento de seguridad cuando pase alguna de estas situaciones: si hacen cambios importantes al tratamiento de tus datos que aumenten o disminuyan el riesgo; si después de revisar su sistema de protección notan que pueden mejorarlo; si ocurre un ataque o fuga de datos y toman medidas para reparar el daño; si aplican soluciones para evitar que vuelva a pasar una violación de seguridad; o si alguna autoridad de protección de datos se los recomienda.

Texto oficial

Artículo 31. El responsable deberá actualizar el documento de seguridad cuando ocurran los siguientes eventos: I. Se produzcan modificaciones sustanciales al tratamiento de datos personales que deriven en un cambio en el nivel de riesgo; II. Como resultado de un proceso de mejora continua, derivado del monitoreo y revisión del sistema de gestión; III. Como resultado de un proceso de mejora para mitigar el impacto de una vulneración a la seguridad ocurrida; IV. Implementación de acciones correctivas y preventivas ante una vulneración de seguridad; y V. Por recomendación de la Autoridad Garante Local y de las Autoridades Garantes, respectivamente.