Artículo 54 de la Ley de Protección de Datos Personales en Posesión de Sujetos Obligados del Estado de México y Municipios

Si alguien se mete a la base de datos de una empresa o institución y se roba o expone tus datos personales de manera grave (por ejemplo, que afecte tu dinero o tu privacidad), esa empresa debe avisarte a ti y al INAI (el Instituto que vigila esto) lo más rápido posible, en un máximo de 72 horas después de confirmar el problema. Además, la empresa tiene que hacer una revisión completa para ver qué tan grave fue el daño, para que tú puedas defender tus derechos. Si el que manejaba tus datos era un proveedor externo y no la empresa directamente, ese proveedor debe avisar a la empresa de inmediato para que ella sea quien te notifique a ti. En otros casos menos graves, la empresa solo tiene que anotar el incidente en su bitácora para aprender de él y mejorar sus medidas de seguridad.

Texto oficial

Artículo 54. En caso de violación a la seguridad de los datos personales que afecten de forma significativa los derechos patrimoniales o morales, el responsable deberá notificarlo al titular y al Instituto sin dilación alguna y de ser posible, a más tardar setenta y dos horas después de que se confirme que ocurrió la violación. En tales casos, el responsable tomará las acciones encaminadas a detonar un proceso de revisión exhaustivo de la magnitud de la afectación, a fin de que los titulares afectados puedan tomar las medidas correspondientes para la defensa de sus derechos. Si la violación fue cometida en los sistemas y bases de datos cuyo tratamiento corresponde al encargado externo, notificará inmediatamente al responsable, una vez confirmada la transgresión, a fin de que éste último proceda conforme a lo establecido en el presente artículo. Fuera de los supuestos establecidos en el párrafo anterior, una vez atendida la violación a la seguridad, el responsable deberá registrar el incidente en la bitácora correspondiente, a fin de establecer acciones preventivas o correctivas e incorporarlas al Plan de Trabajo. Contenido de la Notificación