Artículo 60 de la LEY DE PROTECCIÓN DE DATOS PERSONALES EN POSESIÓN DE SUJETOS OBLIGADOS DE LA CIUDAD DE MÉXICO.

Si la persona o empresa que cuida tus datos personajes (el encargado) no sigue las órdenes de quien los recolectó (el responsable) y empieza a hacer lo que se le antoje con ellos, entonces automáticamente se convierte en el responsable legal. Eso significa que tendrá que pagar las consecuencias de sus acciones, como si desde el principio fuera el dueño de esos datos. En pocas palabras, si se pasa de listo, le tocará responder ante la ley como si él fuera el jefe.

Texto oficial

Artículo 60. Cuando la persona encargada incumpla las instrucciones del responsable y decida por sí misma sobre el tratamiento de los datos personales, asumirá el carácter de responsable y las consecuencias legales correspondientes conforme a la legislación en la materia que le resulte aplicable.