Artículo 49 de la Ley de Protección de Datos Personales en Posesión de Sujetos Obligados del Estado de México y Municipios

Este artículo dice que cualquier empresa o institución que tenga tus datos personales debe tener un documento llamado "documento de seguridad". En ese documento, tiene que anotar, por lo menos, el nombre de cada sistema donde guarda tus datos, quién es el encargado de cuidarlos y qué obligaciones tiene cada persona que los maneja. También debe incluir un inventario detallado de qué tipo de datos tuyos tiene, cómo están guardados (en papel, en computadora) y en qué lugar físico los resguarda. Además, debe describir todas las medidas de seguridad que usa para proteger tu información. Eso incluye desde cómo controla quién entra a las instalaciones, cómo hace respaldos de tus datos, qué plan tiene para emergencias, hasta cómo capacita a su personal y cómo borra tus datos de forma segura cuando ya no los necesita. Todo esto debe estar por escrito y actualizarse cada cierto tiempo.

Texto oficial

Artículo 49. El documento de seguridad deberá contener como mínimo lo siguiente: I. Respecto de los sistemas de datos personales: a) El nombre. b) El nombre, cargo y adscripción del administrador de cada sistema y base de datos. c) Las funciones y obligaciones del responsable, encargado o encargados y todas las personas que traten datos personales. d) El folio del registro del sistema y base de datos. e) El inventario o la especificación detallada del tipo de datos personales contenidos. f) La estructura y descripción de los sistemas y bases de datos personales, lo cual consiste en precisar y describir el tipo de soporte, así como las características del lugar donde se resguardan. II. Respecto de las medidas de seguridad implementadas deberá incluir lo siguiente: a) Transferencia y remisiones. b) Resguardo de soportes físicos y electrónicos. c) Bitácoras para accesos, operación cotidiana y violaciones a la seguridad de los datos personales. d) El análisis de riesgos. e) El análisis de brecha. f) Gestión de incidentes. g) Acceso a las instalaciones. h) Identificación y autenticación. i) Procedimientos de respaldo y recuperación de datos. j) Plan de contingencia. k) Auditorías. Publicada en el Periódico Oficial “Gaceta del Gobierno” el 30 de mayo de 2017. Sin reforma. LEY DE PROTECCIÓN DE DATOS PERSONALES EN POSESIÓN DE SUJETOS OBLIGADOS DEL ESTADO DE MÉXICO Y MUNICIPIOS 24 l) Supresión y borrado seguro de datos. m) El plan de trabajo. n) Los mecanismos de monitoreo y revisión de las medidas de seguridad. o) El programa general de capacitación. Revisión y actualización del documento de seguridad