Artículo 21 de Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados

Artículo 21. El aviso de privacidad deberá contener, al menos, la siguiente información:

I. La denominación y el domicilio del responsable;

II. Los datos personales que serán sometidos a tratamiento, identificando aquéllos que son sensibles;

III. El fundamento legal que faculta al responsable para llevar a cabo el tratamiento;

IV. Las finalidades del tratamiento para las cuales se obtienen los datos personales, distinguiendo aquéllas que requieren el consentimiento de la persona titular;

V. Los mecanismos, medios y procedimientos disponibles para ejercer los derechos ARCO;

VI. El domicilio de la Unidad de Transparencia;

VII. Cuando se realicen transferencias de datos personales que requieran consentimiento, se deberá informar:

a) Las autoridades, poderes, entidades, órganos y organismos gubernamentales de los tres órdenes de gobierno y las personas físicas o morales a las que se transfieren los datos personales, y b) Las finalidades de estas transferencias;

VIII. Los mecanismos y medios disponibles para que la persona titular, en su caso, pueda manifestar su negativa para el tratamiento de sus datos personales para finalidades y transferencias de datos personales que requieren el consentimiento de la persona titular, y IX. Los medios a través de los cuales el responsable comunicará a las personas titulares los cambios al aviso de privacidad.

Los mecanismos y medios a los que se refiere la fracción VIII de este artículo deberán estar disponibles para que la persona titular pueda manifestar su negativa al tratamiento de sus datos personales para las finalidades o transferencias que requieran su consentimiento, previo a que ocurra dicho tratamiento.