Artículo 58 de la LEY DE PROTECCIÓN DE DATOS PERSONALES EN POSESIÓN DE SUJETOS OBLIGADOS DE LA CIUDAD DE MÉXICO

Si una empresa o persona (llamada "responsable") quiere guardar información personal de clientes en servicios de la nube, el proveedor de ese servicio debe cumplir con reglas claras para proteger esos datos. Por ejemplo, debe tener políticas de privacidad, no subcontratar sin avisar, no quedarse con la propiedad de la información, y mantenerla confidencial. Además, el proveedor debe avisar si cambia sus políticas, permitir que el responsable limite el uso de los datos, tener medidas de seguridad, borrar la información al terminar el servicio, y evitar que personas no autorizadas accedan a ella. El responsable no puede contratar servicios que no garanticen la protección de los datos según la ley.

Texto oficial

Artículo 58. El responsable podrá utilizar servicios, aplicaciones e infraestructura de cómputo en la nube, de aquellos servicios en los que el proveedor: I. Cumpla, al menos, con lo siguiente: a) Aplique políticas de protección de datos personales con base en los principios y deberes aplicables que establece la presente Ley y demás normativa aplicable; b) Transparente y limite las subcontrataciones que involucren el tratamiento de datos personales; c) Se abstenga de incluir condiciones en la prestación del servicio que le autoricen o permitan asumir la titularidad o propiedad de la información sobre la que preste el servicio, y d) Guarde confidencialidad respecto de los datos personales sobre los que se preste el servicio. II. Cuente con mecanismos, al menos, para: a) Dar a conocer cambios en sus políticas de protección de datos personales, privacidad o condiciones del servicio que presta; b) Permita al responsable limitar el tipo de tratamiento de los datos personales sobre los que se presta el servicio; c) Establezca y mantenga medidas de seguridad adecuadas y verificables para la protección de los datos personales sobre los que se preste el servicio; d) Garantice la supresión de los datos personales una vez que haya concluido el servicio prestado al responsable, e e) Impida el acceso a los datos personales a personas ajenas, o bien, en caso de que sea a solicitud fundada y motivada de autoridad competente, informar de ese hecho al responsable. En cualquier caso, el responsable no podrá adherirse a servicios que no garanticen la debida protección de los datos personales, conforme a la presente Ley y demás disposiciones que resulten aplicables en la materia. TÍTULO QUINTO COMUNICACIONES DE DATOS PERSONALES Capítulo Único De las Transferencias y Remisiones de Datos Personales