BOLETÍN OFICIAL DEL ESTADO
Núm. 126

Jueves 27 de mayo de 2021

Sec. I. Pág. 64122

2. Cuando los datos sean objeto de un tratamiento con fines jurisdiccionales del que
sea responsable un órgano del orden jurisdiccional penal, o el Ministerio Fiscal, el ejercicio
de los derechos de información, acceso, rectificación, supresión y limitación del tratamiento
se realizará de conformidad con lo previsto en la Ley Orgánica 6/1985, de 1 de julio, en las
normas procesales y en su caso, el Estatuto Orgánico del Ministerio Fiscal.
3. En defecto de regulación del ejercicio de estos derechos en dichas normas, se
aplicará lo dispuesto en esta Ley Orgánica.
CAPÍTULO IV
Responsable y encargado de tratamiento
Sección 1.ª
Artículo 27.

Obligaciones generales

Obligaciones del responsable del tratamiento.

1. El responsable del tratamiento, tomando en consideración la naturaleza, el ámbito,
el contexto y los fines del tratamiento, así como los niveles de riesgo para los derechos y
libertades de las personas físicas, aplicará las medidas técnicas y organizativas apropiadas
para garantizar que el tratamiento se lleve a cabo de acuerdo con esta Ley Orgánica y con
lo previsto en la legislación sectorial y en sus normas de desarrollo. Tales medidas se
revisarán y actualizarán cuando resulte necesario.
2. Entre las medidas mencionadas en el apartado anterior se incluirá la aplicación de
las oportunas políticas de protección de datos, cuando sean proporcionadas en relación
con las actividades de tratamiento.
Artículo 28.

Protección de datos desde el diseño y por defecto.

1. En el momento de determinar los medios para el tratamiento, así como en el
momento del tratamiento propiamente dicho, deberán aplicarse las medidas técnicas y
organizativas que resulten apropiadas conforme al estado de la técnica y el coste de la
aplicación, la naturaleza, el ámbito, el contexto, los fines del tratamiento y los riesgos para
los derechos y libertades de las personas físicas. El objetivo será salvaguardar los
principios de protección de datos de forma efectiva, al tiempo que integrar las garantías
necesarias en el tratamiento. Entre estas medidas técnicas, se podrá adoptar la
seudonimización de los datos personales a los efectos de contribuir a la aplicación de los
principios establecidos en esta Ley Orgánica, en particular, el de minimización de datos
personales.
2. Además, las medidas técnicas y organizativas deberán garantizar que, por defecto,
sólo sean objeto de tratamiento los datos personales que resulten necesarios para cada
uno de los fines específicos del tratamiento. Dicha obligación se aplicará a la cantidad de
datos personales recogidos, a la extensión de su tratamiento, a su período de conservación
y a su accesibilidad.
Tales medidas garantizarán que, por defecto, los datos personales no sean accesibles
a un número indeterminado de personas sin intervención humana.
Supuestos de corresponsabilidad en el tratamiento.

1. Cuando dos o más responsables del tratamiento determinen conjuntamente los
objetivos y los medios de tratamiento serán considerados corresponsables del tratamiento.
2. Salvo que las responsabilidades hayan sido previstas por el Derecho de la Unión
Europea o por la legislación española, los corresponsables del tratamiento establecerán,
de modo transparente y de mutuo acuerdo, a través del instrumento oportuno, sus
respectivas responsabilidades en el cumplimiento de esta Ley Orgánica, en particular, en
lo referido al ejercicio de los derechos del interesado y a sus respectivas obligaciones en
el suministro de la información contemplada en el artículo 21.

cve: BOE-A-2021-8806
Verificable en https://www.boe.es

Artículo 29.