Artículo 66 de la LEY DE PROTECCIÓN DE DATOS PERSONALES EN POSESIÓN DE SUJETOS OBLIGADOS DE LA CIUDAD DE MÉXICO.

Cuando alguien quiere pasar tus datos personales a otra persona o empresa (a esto se le llama "transferencia"), debe hacerlo por escrito, usando un contrato o un acuerdo que explique qué van a hacer con tus datos y quién se hace responsable de cuidarlos. Esto no aplica en dos casos: primero, si la transferencia es dentro de México y la ley obliga a compartir los datos o la otra empresa tiene permiso legal para pedirlos. Segundo, si la transferencia es al extranjero y está prevista en una ley o tratado firmado por México, o la pide una autoridad de otro país con poderes similares a los de quien tiene tus datos.

Texto oficial

Artículo 66. Toda transferencia deberá formalizarse mediante la suscripción de cláusulas contractuales, convenios de colaboración o cualquier otro instrumento jurídico, de conformidad con la normatividad que le resulte aplicable al responsable, que permita demostrar el alcance del tratamiento de los datos personales, así como las obligaciones y responsabilidades asumidas por las partes. Lo dispuesto en el párrafo anterior, no será aplicable en los siguientes casos: I. Cuando la transferencia sea nacional y se realice entre responsables en virtud del cumplimiento de una disposición legal o en el ejercicio de atribuciones expresamente conferidas a éstos, atendiendo las finalidades establecidas; o II. Cuando la transferencia sea internacional y se encuentre prevista en una ley o tratado suscrito y ratificado por México, o bien, se realice a petición de una autoridad extranjera u organismo internacional competente en su carácter de receptor, siempre y cuando las facultades entre el responsable transferente y receptor sean homólogas, o bien, las finalidades que motivan la transferencia sean análogas o compatibles respecto de aquéllas que dieron origen al tratamiento del responsable transferente.