Art. 14 sexies — Deber de reportar las vulneraciones a las medidas de seguridad.

Ubicación en la ley

Título II — Del tratamiento de los datos personales y de las categorías especiales de datos

Párrafo Primero — Del consentimiento del titular, de las obligaciones y deberes del responsable y del tratamiento de datos en general

Qué dice, en breve

Vulneraciones de seguridad: ante una filtración, pérdida o acceso no autorizado con riesgo razonable, se debe reportar a la Agencia por los medios más expeditos y sin dilaciones indebidas; si afecta datos sensibles, de menores de 14 años o financieros, también a los titulares. Exige registro de incidentes.

Texto oficial

Artículo 14 sexies.- Deber de reportar las vulneraciones a las medidas de seguridad. El responsable deberá reportar a la Agencia, por los medios más expeditos posibles y sin dilaciones indebidas, las vulneraciones a las medidas de seguridad que ocasionen la destrucción, filtración, pérdida o alteración accidental o ilícita de los datos personales que trate o la comunicación o acceso no autorizados a dichos datos, cuando exista un riesgo razonable para los derechos y libertades de los titulares.

El responsable deberá registrar estas comunicaciones, describiendo la naturaleza de las vulneraciones sufridas, sus efectos, las categorías de datos y el número aproximado de titulares afectados y las medidas adoptadas para gestionarlas y precaver incidentes futuros.

Cuando dichas vulneraciones se refieran a datos personales sensibles, datos relativos a niños y niñas menores de catorce años o datos relativos a obligaciones de carácter económico, financiero, bancario o comercial, el responsable deberá también efectuar esta comunicación a los titulares de estos datos, a través de sus representantes, cuando corresponda. Esta comunicación deberá realizarse en un lenguaje claro y sencillo, singularizando los datos afectados, las posibles consecuencias de las vulneraciones de seguridad y las medidas de solución o resguardo adoptadas. La notificación se deberá realizar a cada titular afectado y si ello no fuere posible, se realizará mediante la difusión o publicación de un aviso en un medio de comunicación social masivo y de alcance nacional.

Los deberes de información señalados en este artículo no obstan a los demás deberes de información que establezcan otras leyes.