Artículo 44 de la Ley de Protección de Datos Personales en Posesión de Sujetos Obligados del Estado de México y Municipios

El artículo 44 habla sobre cómo una persona o empresa que maneje tus datos personales (llamada "responsable") debe protegerlos. Básicamente, dice que tienen que poner medidas de seguridad, que se dividen en dos grupos: los **tipos de seguridad** (física, lógica, de desarrollo, de cifrado y de comunicaciones) y los **niveles de seguridad** (básico, medio y alto). Las medidas **físicas** son para cuidar los lugares y equipos donde guardan tus datos (como cerrar con llave los servidores). Las **lógicas** son para que solo el personal autorizado pueda acceder a tu información, con contraseñas o claves. Las **de desarrollo** son los permisos que se dan al crear sistemas con datos personales, asegurándose de que se haga de forma correcta y controlada. Las de **cifrado** usan códigos secretos (como contraseñas especiales) para que la información no se entienda si alguien no autorizado la ve. Y las de **comunicaciones y redes** son reglas técnicas para que nadie entre a los sistemas por internet sin permiso. En cuanto a los **niveles**, el **básico** aplica para todos los datos y obliga a tener cosas como un documento de seguridad y respaldos de la información. El **medio** se usa para datos más delicados (como deudas o problemas administrativos) y pide tener un encargado de seguridad y auditorías. El **alto** es para datos muy sensibles, como tu religión, salud o creencias políticas, y exige las medidas más estrictas para protegerlos.

Texto oficial

Artículo 44. El responsable adoptará las medidas de seguridad, conforme a lo siguiente: A. Tipos de seguridad: I. Física: a la medida orientada a la protección de instalaciones, equipos, soportes, sistemas o bases de datos para la prevención de riesgos por caso fortuito o causas de fuerza mayor. II. Lógica: a las medidas de seguridad administrativas y de protección que permiten la identificación y autenticación de las usuarias y los usuarios autorizados para el tratamiento de los datos personales de acuerdo con su función. III. De desarrollo y aplicaciones: a las autorizaciones con las que contará la creación o tratamiento de los sistemas o bases de datos personales, según su importancia, para garantizar el adecuado desarrollo y uso de los datos, previendo la participación de las usuarias y usuarios, la separación de entornos, la metodología a seguir, ciclos de vida y gestión, así como las consideraciones especiales respecto de aplicaciones y pruebas. IV. De cifrado: a la implementación de algoritmos, claves, contraseñas, así como dispositivos concretos de protección que garanticen la seguridad de la información. V. De comunicaciones y redes: a las medidas de seguridad técnicas, así como restricciones preventivas y de riesgos que deberán observar los usuarios de datos o sistemas de datos personales para acceder a dominios o cargar programas autorizados, así como para el manejo de telecomunicaciones. B. Niveles de seguridad: I. Básico: a las medidas generales de seguridad cuya aplicación es obligatoria para todos los sistemas y bases de datos personales. Dichas medidas corresponden a los siguientes aspectos: a) Documento de seguridad. Publicada en el Periódico Oficial “Gaceta del Gobierno” el 30 de mayo de 2017. Sin reforma. LEY DE PROTECCIÓN DE DATOS PERSONALES EN POSESIÓN DE SUJETOS OBLIGADOS DEL ESTADO DE MÉXICO Y MUNICIPIOS 21 b) Funciones y obligaciones del personal que intervenga en el tratamiento de las bases o sistemas de datos personales. c) Registro de incidencias. d) Identificación y autenticación. e) Control de acceso. f) Gestión de soportes. g) Copias de respaldo y recuperación. II. Medio: a la adopción de medidas de seguridad cuya aplicación corresponde a bases o sistemas de datos relativos a la comisión de infracciones administrativas o penales, hacienda pública, servicios financieros, datos patrimoniales, así como a los que contengan datos de carácter personal suficientes que permitan obtener una evaluación de la personalidad del individuo. Este nivel de seguridad, de manera adicional a las medidas calificadas como básicas, considera los aspectos siguientes: a) Responsable de seguridad. b) Auditoría. c) Control de acceso físico. d) Pruebas con datos reales. III. Alto: a las medidas de seguridad aplicables a bases o sistemas de datos concernientes a la ideología, religión, creencias, afiliación política, origen racial o étnico, salud, biométricos, genéticos o vida sexual, así como los que contengan datos recabados para fines policiales, de seguridad pública, prevención, investigación y persecución de delitos. En estos casos, además de incorporar las medidas de nivel básico y medio, deberán completar las que se detallan a continuación: a) Distribución de soportes. b) Registro de acceso. c) Telecomunicaciones. Los diferentes niveles de seguridad serán establecidos atendiendo a las características propias de la información. Elementos a considerar para la adopción de medidas de seguridad y su naturaleza