Artículo 39 de la LEY DE PROTECCIÓN DE DATOS PERSONALES EN POSESIÓN DE SUJETOS OBLIGADOS DE LA CIUDAD DE MÉXICO.

Las dependencias del gobierno de la Ciudad de México deben avisar en la Gaceta Oficial cuando creen, cambien o eliminen un sistema donde guarden tus datos personales. En ese aviso pondrán links para ver los acuerdos completos, y también deben mandar una copia física y digital a la autoridad local para que los guarde y los publique en un registro electrónico. Cada vez que creen o modifiquen un sistema, tienen que explicar para qué usarán tus datos, quiénes los van a tratar, qué tipo de información recaban, quién es el responsable, cómo puedes pedir que corrijan o borren tus datos, y qué medidas de seguridad tendrán. Si deciden deshacerse de un sistema, deben explicar cómo van a eliminar o dar de baja los datos, aunque pueden conservar algunos si son anónimos o se usan solo para estadísticas, historia o ciencia.

Texto oficial

Artículo 39. La integración, tratamiento y protección de los datos personales se realizará con base en lo siguiente: I. Cada sujeto obligado publicará en la Gaceta Oficial de la Ciudad de México el Aviso relativo a la creación, modificación o supresión de sus sistemas de datos personales. Dicho Aviso deberá indicar las ligas electrónicas donde se podrán consultar los Acuerdos de creación, modificación o supresión correspondientes, los requisitos señalados en la fracción II del presente artículo, así como la demás información que, en su caso, determine la Autoridad Garante Local y las autoridades garantes. Asimismo, dichos Acuerdos y los propios sistemas serán enviados en versión física con firma autógrafa en original y una versión digitalizada de los mismos a la Autoridad Garante Local y las autoridades garantes a efecto de su resguardo y su publicación en el Registro Electrónico de Sistemas de Datos Personales; II. En caso de creación o modificación de los sistemas de datos personales, se deberá indicar al menos lo siguiente: a) La finalidad o finalidades de los sistemas de datos personales; así como los usos y transferencias previstos; b) Las personas físicas o grupos de personas sobre las que se recaben o traten datos personales; c) La estructura básica del sistema de datos personales y la descripción de los tipos de datos incluidos; d) Las instancias responsables del tratamiento del sistema de datos personales: titular del sujeto obligado, usuarios y encargados, si los hubiera; e) Las áreas ante las que podrán ejercerse los derechos de acceso, rectificación, cancelación, oposición y portabilidad; f) El procedimiento a través del cual se podrán ejercerse los derechos de acceso, rectificación, cancelación, oposición y portabilidad; y g) El nivel de seguridad y los mecanismos de protección exigibles. III. Las disposiciones que se dicten para la supresión de los sistemas de datos personales, considerando el ciclo vital del dato personal, la finalidad, y los destinos de los datos contenidos en el mismo o, en su caso, las previsiones adoptadas para su destrucción. IV. De la destrucción de los datos personales podrán ser excluidos aquellos que no se opongan a las finalidades originales como son los procesos de disociación, las finalidades ulteriores estadísticas, históricas o científicas, entre otras.