BOLETÍN OFICIAL DEL ESTADO
Núm. 126

Jueves 27 de mayo de 2021

Sec. I. Pág. 64123

El citado acuerdo designará el punto de contacto para los interesados, a menos que
venga ya determinado legalmente.
La concreción de las responsabilidades se realizará atendiendo a las actividades que
efectivamente desarrolle cada uno de los corresponsables del tratamiento.
Artículo 30.

Encargado del tratamiento.

1. Cuando una operación de tratamiento vaya a ser llevada a cabo por cuenta de un
responsable del tratamiento, este recurrirá únicamente a encargados que ofrezcan
garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera
que el tratamiento sea conforme con los requisitos de esta Ley Orgánica y garantice la
protección de los derechos del interesado.
El encargado podrá ser una persona física o jurídica, de naturaleza privada o pública.
2. El encargado del tratamiento no recurrirá a otro encargado sin la autorización
previa por escrito del responsable del tratamiento. El encargado informará siempre al
responsable de cualquier cambio previsto referido a la adición o sustitución de otros
encargados, pudiendo el responsable oponerse a dichos cambios.
3. El tratamiento por medio de un encargado se regirá por un contrato, convenio u
otro instrumento jurídico que corresponda, por escrito, incluyendo la posibilidad del formato
electrónico, concluido con arreglo al Derecho de la Unión Europea o a la legislación
española. Dicho instrumento jurídico vinculará al encargado con el responsable y fijará el
objeto y la duración del tratamiento, su naturaleza y finalidad, el tipo de datos personales
y categorías de interesados, así como las obligaciones y derechos del responsable.
El instrumento jurídico estipulará, en particular, que el encargado del tratamiento
deberá:
a) Actuar únicamente siguiendo las instrucciones del responsable del tratamiento.
b) Garantizar, a través del instrumento o sistema oportuno, que las personas
autorizadas para tratar datos personales se hayan comprometido a respetar la
confidencialidad o estén sujetas a una obligación profesional de secreto o
confidencialidad.
c) Asistir al responsable del tratamiento por cualquier medio adecuado para garantizar
el cumplimiento de las disposiciones sobre los derechos del interesado.
d) Suprimir o devolver, a elección del responsable del tratamiento, todos los datos
personales al responsable del tratamiento, una vez finalice la prestación de los servicios
de tratamiento, así como suprimir las copias existentes, a menos que el Derecho de la
Unión Europea o la legislación española requieran la conservación de los datos personales.
e) Poner a disposición del responsable del tratamiento toda la información necesaria
para demostrar el cumplimiento de estas obligaciones.
f) Respetar las condiciones indicadas en este apartado y en el apartado 2 para
contratar a otro encargado del tratamiento.

Artículo 31. Tratamiento bajo la autoridad del responsable o del encargado del
tratamiento.
El encargado del tratamiento, así como cualquier persona que actúe bajo la autoridad
del responsable o del encargado del tratamiento y tenga acceso a datos personales, sólo
podrá someterlos a tratamiento siguiendo instrucciones del responsable del tratamiento, a
menos que esté obligado a hacerlo por el Derecho de la Unión Europea o por la legislación
española.

cve: BOE-A-2021-8806
Verificable en https://www.boe.es

4. Si un encargado del tratamiento determinase los fines y medios de dicho
tratamiento, infringiendo esta Ley Orgánica, será considerado responsable con respecto a
ese tratamiento.
5. El encargado del tratamiento se regirá, en lo no previsto por esta Ley Orgánica,
por lo establecido en la Ley Orgánica 3/2018, de 5 de diciembre.