BOLETÍN OFICIAL DEL ESTADO
Núm. 84

Jueves 8 de abril de 2021

Sec. III. Pág. 39693

personas físicas del resto de las informaciones relevantes garantizando que en ningún
caso pudiera llegarse a identificar a las mismas
Adoptar las medidas técnicas, organizativas y de seguridad necesarias para
garantizar la confidencialidad de los datos, de acuerdo con las instrucciones del
Responsable y la normativa; en todo caso, tratar los datos exclusivamente para la
finalidad señalada, observando las exigencias específicas para los datos especialmente
protegidos.
Llevar un registro por escrito de todas las actividades del tratamiento y las personas
que lo realizan, procediendo a la seudonimización, la anonimización de los datos o al
cifrado, conforme a los medios técnicos disponibles, garantizando en todo caso la
confidencialidad, la integridad y la disponibilidad de los datos afectados. Este Registro
deberá ser puesto a disposición de los Responsables, a través de la Comunidad
Autónoma, en cualquier momento.
Exigir de su personal autorizado, destinado a la plataforma SIUSS, que se
comprometan expresamente a observar el contenido del presente acuerdo, cumpliendo
con todas las medidas de seguridad implementadas, de las que han de ser previamente
informados. Este compromiso se entenderá cumplido cuando venga impuesto por una
obligación de naturaleza estatutaria.
Verificar y evaluar el grado de cumplimiento de estas medidas en cada ocasión,
identificando y comunicando a los Responsables, a través de la Comunidad Autónoma,
la persona de contacto asignada. En su caso, colaborar en el análisis de impacto y a la
evaluación del riesgo del tratamiento con los Responsables.
Facilitar cuando así le sea requerido las auditorías y actuaciones de control e
inspección que de dicho tratamiento realice, tanto el propio Responsable como la
Autoridad de Control competente en un plazo máximo a determinar en cada
requerimiento, colaborando en todo momento con el Responsable y/o su Delegado de
Protección de Datos. Asimismo, deberá proceder a la notificación de las violaciones de
seguridad al Responsable y a las Autoridades de Protección de Datos que resulten
competentes y/o en su caso, a los propios titulares de los datos afectados, de forma
coordinada y autorizada por el Responsable.
Informar inmediatamente al Responsable, a través de la Comunidad Autónoma, si,
en su opinión, una instrucción infringe el Reglamento General de Protección de Datos u
otras disposiciones en materia de protección de datos de la Unión Europea o de España.
También le comunicará con carácter urgente cualquier violación de seguridad que se
produzca respecto al tratamiento de datos SIUSS.
No ceder, publicar ni comunicar datos personales a terceras personas, salvo previa y
expresa autorización por parte del responsable del tratamiento y siempre que se trate de
los supuestos previstos en la normativa o en el apartado quinto.
De estar adherido el encargado de tratamiento a un código de conducta de
protección de datos, deberá adoptar cuantas medidas adicionales le vengan impuestas
en dicho código o certificado.
Subcontratación:

No podrá subcontratar a otro encargado, ni ceder los datos a un tercero sin la
expresa autorización por escrito del Responsable, la Comunidad Autónoma que suscribe
el Convenio, en el plazo de quince días hábiles desde la recepción de la solicitud de
autorización. En el supuesto de que el Responsable lo autorice, el encargado deberá de
comunicar los datos de contacto del Subcontratista, avalando su idoneidad para el
servicio externalizado. El subcontratista ostentará la condición de encargado de
tratamiento, siendo necesario a tal efecto que suscriba un acuerdo de encargo de
tratamiento específico con el Ministerio de Derechos Sociales y Agenda 2030, adicional
al presente.
El Ministerio de Derechos Sociales y Agenda 2030 como encargado principal seguirá
respondiendo íntegramente de las obligaciones legales y las consignadas en el presente
documento.

cve: BOE-A-2021-5573
Verificable en https://www.boe.es

5.