Artículo 21 de la LEY DE PROTECCIÓN DE DATOS PERSONALES EN POSESIÓN DE SUJETOS OBLIGADOS DE LA CIUDAD DE MÉXICO

La ley dice que cuando te pidan tus datos personales, deben darte un aviso de privacidad en dos versiones: una corta (simplificada) y una larga (integral). En la versión corta tienen que decirte quién es el responsable de tus datos, para qué los van a usar (señalando qué usos necesitan tu permiso), a quién se los van a compartir y por qué, cómo puedes decir que no estás de acuerdo, y dónde consultar la versión completa. Además, aunque te den el aviso corto, ellos deben asegurarse de que puedas conocer todo el aviso largo. Y antes de que usen tus datos para algo que requiere tu permiso, deben darte la oportunidad de decir que no.

Texto oficial

Artículo 21. El aviso de privacidad se pondrá a disposición del titular en dos modalidades: simplificado e integral. El aviso simplificado deberá contener la siguiente información: I. La denominación del responsable; II. Las finalidades del tratamiento para las cuales se obtienen los datos personales, distinguiendo aquéllas que requieran el consentimiento del titular; III. cuando se realicen transferencias de datos personales que requieran consentimiento, se deberá informar: a) Las autoridades, poderes, entidades, órganos y organismos gubernamentales de los tres órdenes de gobierno y las personas físicas o morales a las que se transfieren los datos personales, y b) Las finalidades de estas transferencias; IV. Los mecanismos y medios disposiciones para que el titular, en su caso, pueda manifestar su negativa para el tratamiento de sus datos personales para finalidades y transferencias de datos personales que requieren el consentimiento del titular, y V. El sitio donde se podrá consultar el aviso de privacidad integral. La puesta a disposición del aviso de privacidad al que refiere este artículo no exime al responsable de su obligación de proveer los mecanismos para que el titular pueda conocer el contenido del aviso de privacidad integral. Los mecanismos y medios a los que se refiere la fracción IV de este artículo, deberán estar disponibles para que el titular pueda manifestar su negativa al tratamiento de sus datos personales para las finalidades o transferencias que requieran el consentimiento del titular previo a que ocurra dicho tratamiento.