Artículo 54 de la LEY General de Protección de Datos Personales en Posesión de Sujetos Obligados

Si la persona que cuida tus datos (el encargado) no sigue las órdenes de quien los recolectó (el responsable) y empieza a decidir por su cuenta cómo usarlos, entonces esa persona se vuelve responsable ante la ley. O sea, le tocará pagar las consecuencias legales como si ella hubiera sido la dueña de los datos desde el principio.

Texto oficial

Artículo 54. Cuando la persona encargada incumpla las instrucciones del responsable y decida por sí misma sobre el tratamiento de los datos personales, asumirá el carácter de responsable y las consecuencias legales correspondientes conforme a la legislación en la materia que le resulte aplicable.