Artículo 58 de la LEY DE PROTECCIÓN DE DATOS PERSONALES EN POSESIÓN DE SUJETOS OBLIGADOS DE LA CIUDAD DE MÉXICO.

Si alguien más maneja tus datos personales por encargo de una institución o empresa (como una agencia externa), esa persona solo puede usarlos para lo que le hayan indicado, sin cambiar el propósito ni decidir por su cuenta cómo usarlos. El encargado solo puede hacer lo que el responsable le diga, ni más ni menos. En pocas palabras: no puede inventarse nuevos usos ni desviarse de las instrucciones.

Texto oficial

Artículo 58. Si en algún caso el tratamiento de datos personales es realizado a través de una persona pública o privada, física o jurídica ajena a los sujetos obligados, el encargado deberá realizar las actividades de tratamiento de los datos personales sin modificar las finalidades o decidir sobre el alcance y contenido del tratamiento, sus actuaciones estarán limitadas a los términos fijados por el responsable.