LEY GENERAL DE PROTECCIÓN DE DATOS PERSONALES EN POSESIÓN DE SUJETOS OBLIGADOS
CÁMARA DE DIPUTADOS DEL H. CONGRESO DE LA UNIÓN
Nueva Ley DOF 26-01-2017
Secretaría General
Secretaría de Servicios Parlamentarios
Artículo 58. El encargado deberá realizar las actividades de tratamiento de los datos personales sin
ostentar poder alguno de decisión sobre el alcance y contenido del mismo, así como limitar sus
actuaciones a los términos fijados por el responsable.
Artículo 59. La relación entre el responsable y el encargado deberá estar formalizada mediante
contrato o cualquier otro instrumento jurídico que decida el responsable, de conformidad con la normativa
que le resulte aplicable, y que permita acreditar su existencia, alcance y contenido.
En el contrato o instrumento jurídico que decida el responsable se deberán prever, al menos, las
siguientes cláusulas generales relacionadas con los servicios que preste el encargado:
I.
Realizar el tratamiento de los datos personales conforme a las instrucciones del responsable;
II.
Abstenerse de tratar los datos personales para finalidades distintas a las instruidas por el
responsable;
III.
Implementar las medidas de seguridad conforme a los instrumentos jurídicos aplicables;
IV.
Informar al responsable cuando ocurra una vulneración a los datos personales que trata por
sus instrucciones;
V.
Guardar confidencialidad respecto de los datos personales tratados;
VI.
Suprimir o devolver los datos personales objeto de tratamiento una vez cumplida la relación
jurídica con el responsable, siempre y cuando no exista una previsión legal que exija la
conservación de los datos personales, y
VII.
Abstenerse de transferir los datos personales salvo en el caso de que el responsable así lo
determine, o la comunicación derive de una subcontratación, o por mandato expreso de la
autoridad competente.
Los acuerdos entre el responsable y el encargado relacionados con el tratamiento de datos
personales no deberán contravenir la presente Ley y demás disposiciones aplicables, así como lo
establecido en el aviso de privacidad correspondiente.
Artículo 60. Cuando el encargado incumpla las instrucciones del responsable y decida por sí mismo
sobre el tratamiento de los datos personales, asumirá el carácter de responsable conforme a la
legislación en la materia que le resulte aplicable.
Artículo 61. El encargado podrá, a su vez, subcontratar servicios que impliquen el tratamiento de
datos personales por cuenta del responsable, siempre y cuando medie la autorización expresa de este
último. El subcontratado asumirá el carácter de encargado en los términos de la presente la Ley y demás
disposiciones que resulten aplicables en la materia.
Cuando el contrato o el instrumento jurídico mediante el cual se haya formalizado la relación entre el
responsable y el encargado, prevea que este último pueda llevar a cabo a su vez las subcontrataciones
de servicios, la autorización a la que refiere el párrafo anterior se entenderá como otorgada a través de lo
estipulado en éstos.
Artículo 62. Una vez obtenida la autorización expresa del responsable, el encargado deberá
formalizar la relación adquirida con el subcontratado a través de un contrato o cualquier otro instrumento
jurídico que decida, de conformidad con la normatividad que le resulte aplicable, y permita acreditar la
21 de 52