Artículo 56 de la LEY DE PROTECCIÓN DE DATOS PERSONALES EN POSESIÓN DE SUJETOS OBLIGADOS DE LA CIUDAD DE MÉXICO

Cuando una persona o empresa (el responsable) contrata a otra (el encargado) para que maneje datos personales, deben firmar un contrato o algún otro documento legal donde quede claro qué va a hacer el encargado con esos datos. En ese contrato, el encargado debe aceptar solo usar los datos como el responsable le indique, no usarlos para otros fines, protegerlos con medidas de seguridad y avisar si hay una filtración o pérdida de datos. También tiene que mantener la información en secreto y, al terminar el servicio, borrar o devolver los datos al responsable, a menos que una ley diga que los debe conservar por más tiempo. Todo lo que acuerden debe cumplir con la Ley de Protección de Datos.

Texto oficial

Artículo 56. La relación entre el responsable y el encargado deberá estar formalizada mediante contrato o cualquier otro instrumento jurídico, de conformidad con la normativa que le resulte aplicable, y que permita acreditar su existencia, alcance y contenido. En el contrato o instrumento jurídico que decida el responsable se deberán prever, al menos, las siguientes cláusulas generales relacionadas con los servicios que preste el encargado: I. Realizar el tratamiento de los datos personales conforme a las instrucciones del responsable; II. Abstenerse de tratar los datos personales para finalidades distintas a las instruidas por el responsable; III. Implementar las medidas de seguridad conforme a los instrumentos jurídicos aplicables establecidos en la presente Ley y la naturaleza de los datos; IV. Informar al responsable cuando ocurra una vulneración a los datos personales que trata por sus instrucciones; V. Guardar confidencialidad respecto de los datos personales tratados; y VI. Suprimir o devolver los datos personales objeto de tratamiento una vez cumplida la relación jurídica con el responsable, siempre y cuando no exista una previsión legal que exija la conservación de los datos personales. Los acuerdos entre el responsable y el encargado relacionados con el tratamiento de datos personales no deberán contravenir la presente Ley y demás disposiciones aplicables.