BOLETÍN OFICIAL DEL ESTADO
Núm. 99

Lunes 26 de abril de 2021

Sec. III. Pág. 49243

d) Por decisión judicial declaratoria de la nulidad del convenio.
e) Por cualquier otra causa distinta de las anteriores prevista en el convenio o en
otras leyes.
En caso de resolución anticipada del convenio corresponde a la Comisión
de Seguimiento establecer la forma de terminación de las actuaciones pendientes.
Novena.

Protección de datos de carácter personal.

a) Tratará los datos personales únicamente siguiendo instrucciones documentadas
del responsable, inclusive con respecto a las transferencias de datos personales a un
tercer país o una organización internacional, salvo que esté obligado a ello en virtud del
Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal
caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento,
salvo que tal Derecho lo prohíba por razones importantes de interés público;
b) Garantizará que las personas autorizadas para tratar datos personales se hayan
comprometido a respetar la confidencialidad o estén sujetas a una obligación de
confidencialidad de naturaleza estatutaria;
c) Tomará todas las medidas necesarias de conformidad con el artículo 32 del
RGPD, que regula lo relativo a la seguridad del tratamiento, adoptando las medidas
técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al
riesgo;
d) Asistirá al responsable, teniendo en cuenta la naturaleza del tratamiento, a
través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para
que éste pueda cumplir con su obligación de responder a las solicitudes que tengan por
objeto el ejercicio de los derechos de los interesados establecidos en los artículos 12
a 23 del RGPD. A tales efectos comunicará al responsable del tratamiento
inmediatamente, y sin dilación indebida, cualquier requerimiento que realice un

cve: BOE-A-2021-6785
Verificable en https://www.boe.es

Las Partes de común acuerdo establecen y se comprometen, en cuanto a los datos
de carácter personal facilitados para la firma del presente documento o para la relación
que surge del mismo, que la única finalidad de dichos datos será la de gestionar la
relación surgida y la de facilitar el desarrollo del objeto del presente convenio, no
pudiéndose emplear los mismos para finalidad distinta de aquella para la que fueron
proporcionados. El incumplimiento de lo estipulado en este apartado, dará lugar a la
responsabilidad correspondiente de la parte incumplidora, sin perjuicio de la sanción a la
que su actuación pudiese dar lugar.
Por tratamiento de datos de carácter personal se entenderá cualquier operación o
conjunto de operaciones realizadas sobre datos personales o conjuntos de datos
personales, ya sea por procedimientos automatizados o no, como la recogida, registro,
organización, estructuración, conservación, adaptación o modificación, extracción,
consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de
habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.
Cuando la ejecución de este convenio implique el acceso de una parte a datos de
carácter personal de los que sea responsable alguna de las otras partes, aquél será
considerado encargado de tratamiento, en los términos del artículo 4.8) y 28 del
Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril
de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento
de datos personales y a la libre circulación de estos datos y por el que se deroga la
Directiva 95/46/CE, en adelante RGPD.
El tratamiento por el encargado se regirá por una adenda al presente convenio, que
vincule al encargado respecto del responsable y establezca el objeto, la duración, la
naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de
interesados, y las obligaciones y derechos del responsable.
Dicha adenda estipulará, en particular, que el encargado: