Artículo 59 de la LEY DE PROTECCIÓN DE DATOS PERSONALES EN POSESIÓN DE SUJETOS OBLIGADOS DE LA CIUDAD DE MÉXICO.

El Artículo 59 dice que cuando una empresa (el responsable) contrata a otra persona o compañía (el encargado) para que maneje datos personales, debe haber un contrato escrito que demuestre qué se va a hacer y cómo. Ese contrato debe incluir reglas claras, como que el encargado solo use los datos para lo que el responsable le indique, que los mantenga seguros y confidenciales, que avise si hay algún problema de seguridad, y que borre o devuelva los datos cuando termine el trabajo, a menos que la ley diga que los guarde. También el encargado no puede compartir los datos con nadie más, salvo que el responsable lo autorice, lo pida un juez, o sea parte de un subcontrato. Todo lo acordado debe cumplir con la ley de protección de datos y con lo que dice el aviso de privacidad que ya se le dio a los dueños de la información.

Texto oficial

Artículo 59. La relación entre el responsable y el encargado deberá estar formalizada mediante contrato o cualquier otro instrumento jurídico, de conformidad con la normativa que le resulte aplicable, y que permita acreditar su existencia, alcance y contenido. En el contrato o instrumento jurídico que decida el responsable se deberán prever, al menos, las siguientes cláusulas generales relacionadas con los servicios que preste el encargado: I. Realizar el tratamiento de los datos personales conforme a las instrucciones del responsable; II. Abstenerse de tratar los datos personales para finalidades distintas a las instruidas por el responsable; III. Implementar las medidas de seguridad conforme a los instrumentos jurídicos aplicables establecidos en la presente Ley y la naturaleza de los datos; IV. Informar al responsable cuando ocurra una vulneración a los datos personales que trata por sus instrucciones; V. Guardar confidencialidad respecto de los datos personales tratados; VI. Suprimir o devolver los datos personales objeto de tratamiento una vez cumplida la relación jurídica con el responsable, siempre y cuando no exista una previsión legal que exija la conservación de los datos personales; y VII. Abstenerse de transferir los datos personales salvo en el caso de que el responsable así lo determine, o la comunicación derive de una subcontratación, o por mandato expreso de la autoridad competente. Los acuerdos entre el responsable y el encargado relacionados con el tratamiento de datos personales no deberán contravenir la presente Ley y demás disposiciones aplicables, así como lo establecido en el aviso de privacidad correspondiente.