Artículo 46 de la Ley de Protección de Datos Personales en Posesión de Sujetos Obligados del Estado de México y Municipios

Este artículo dice que las empresas o personas que manejan tus datos personales tienen la obligación de hacer varias cosas para protegerlos. Primero, deben crear reglas internas claras sobre cómo usarán tu información, desde que la obtienen hasta que la borran. También tienen que definir qué empleados pueden acceder a tus datos, hacer una lista de toda la información que tienen sobre ti y analizar los riesgos de que alguien la robe o la pierda. Además, deben revisar si les faltan medidas de seguridad, hacer un plan para mejorar, capacitar a su personal y monitorear constantemente que todo esté protegido. En pocas palabras, la ley exige que quien tiene tus datos los cuide como si fueran suyos, con planes y supervisiones continuas.

Texto oficial

Artículo 46. Para establecer y mantener las medidas de seguridad para la protección de los datos personales, el responsable realizará, al menos, las actividades interrelacionadas siguientes: I. Crear políticas internas para la gestión y tratamiento de los datos personales, que tomen en cuenta el contexto en el que ocurren los tratamientos y el ciclo de vida de los datos personales, es decir, su obtención, uso y posterior supresión. II. Definir las funciones y obligaciones del personal involucrado en el tratamiento de datos personales. III. Elaborar un inventario de datos personales y de las bases y o sistemas de tratamiento. IV. Realizar un análisis de riesgo de los datos personales, considerando las amenazas y vulnerabilidades existentes para los datos personales y los recursos involucrados en su tratamiento, como pueden ser, de manera enunciativa más no limitativa, hardware, software, personal del responsable, entre otros. V. Realizar un análisis de brecha, comparando las medidas de seguridad existentes contra las faltantes en la organización del responsable. VI. Elaborar un plan de trabajo para la implementación de las medidas de seguridad faltantes, así como las medidas para el cumplimiento cotidiano de las políticas de gestión y tratamiento de los datos personales. VII. Monitorear y revisar de manera periódica las medidas de seguridad implementadas, así como las amenazas y vulnerabilidades a las que están sujetos los datos personales. VIII. Diseñar y aplicar diferentes niveles de capacitación del personal bajo su mando, dependiendo de sus roles y responsabilidades respecto del tratamiento de los datos personales. Exigibilidad de Documentos y Registros derivados de un Sistema de Gestión de la Protección de Datos