Artículo 11 de la LEY General de Protección de Datos Personales en Posesión de Sujetos Obligados

El responsable de tus datos (la persona o empresa que los guarda y usa) solo puede usarlos para lo que la ley le permita específicamente. Si una ley no le da permiso de hacer algo con tu información, no lo puede hacer. Es como si tuviera una lista de tareas autorizadas y no puede salirse de ahí. Así cuidan que no abusen de tus datos personales.

Texto oficial

Artículo 11. El tratamiento de datos personales por parte del responsable deberá sujetarse a las facultades o atribuciones que la normatividad aplicable le confiera.